アプリで「ログインしっぱなし」はどのように実現されているか？ - Qiita

このツイートを見て、「アプリで再ログインを頻繁要求されるってユーザビリティ良くないな。」と思ったのですが、普段裏側の仕組みは意識していなかったりテックリードの方に任せきりだったりしていたので、これを機に調べてみました。 そもそもスマホアプリ の時代、もはやauthenticationですらないと思うのよね。（何を言ってるかわからねえだろうと思うが。） — Hiromitsu Takagi (@HiromitsuTakagi) 2019年7月8日 この記事は「アプリでログインしっぱなしは、どのように実現されるの？」という疑問と調べた結果を共有するために書いていきます。 間違いや「もっとこんな仕組みが使われてるよ！」等のツッコミがあれば、どしどし貰えると助かります！ 疑問1. アクセストークンという仕組みとは？ 「なぜアクセストークンという概念が必要なのか？」 モバイルアプリでユーザー認証をし

[tpircs]

治安が悪いというブコメ見てコメント欄確認してみたけど、むしろ真っ当な議論がなされていた。これで治安悪いとか言われちゃうと辛いものがあるなぁ。

[ot2sy39]

なぜリフレッシュトークンはアクセストークンよりはるかに長寿命でも良いのか書いてほしい。きっとハッキリ理由を書いた文書があると思うが、まだ目にしていない。

[chiroruxx]

コメント欄見ると治安悪いな。情報共有の場なんだから、正しい知識を持ってる人は教えてあげればいいのに。

[leiqunni]

何故アクセストークンとリフレッシュトークンの2つあるのか。アクセストークンだけで良いと思うんだけど / 調べた。アクセストークンの使いっぱはセキュリティのリスク。いやリフレッシュトークン残すなら同じと思う

[tettekete37564]

別に OAuth2.0 に沿う必要が無いなら沿わなくても実現は出来る、大体似たような仕組みになるけど。/ こんな至って正常な議論を治安が悪いって「正しい」を導き出すための議論。何もかも正解があるなんて考えは高校生まで

[tsubo1]

100ブクマ以上でブコメ数÷ブクマ数の比が極端に低い記事は、英会話かお役立ち技術のどちらか

[yasushicohi]

アクセストークンとリフレッシュトークン。 リフレッシュトークンをどう保存するか。 リフレッシュトークンが盗まれた場合は？

[masa_w]

コメント欄の治安悪いって言ってる人、どうしてそう思ったのか知りたい。むしろ指摘する側めちゃ丁寧ですやん

[takeag]

「keychainに保存してあるリフレッシュトークンが盗まれたらどうするの？」って、そんなことが起きたら色々終わりだよ。

[otihateten3510]

俺たちは雰囲気でログイン管理している

[mag4n]

リフレッシュトークンは使用頻度の観点から寿命長くてもリスクが少ないからではあるのだが管理が杜撰だと当然インシデントになる。

[e5rijun]

“Credential”

[wats2012]

サーバー側の実装してみたら色々と知見が得られて面白いよ。IDとパスをそのまま保存するのは危険、ではどうするのかとか、有名サイトがザル認証してるのに気付いたりとか。

[north_god]

漫画アプリやゲームとかだとゲストアカウント的なユーザーのまんま何となく使い続けられて、長期的にログインしてなくても再認証とか無くできる仕組み。あれセキュリティ的にどう担保してるんだろ

[hirorinya]

なぜ今？

[gadie_8107]

「次回から自動的にログイン（ログインするとは言ってない）」が多すぎる

[onesplat]

access tokenはbearerだから漏れたら即悪用されるが、refresh tokenは使用する際にclient secretが必要なのでリスクが比較的少ないんだよ。あとaccess tokenよりも数が少ないのでrevokeしやすいというのもある。実装と要件によるが。

[ducky19999]

コメント書いてないでqiita書けよ

[for-my-internet-demo]

csrfトークン更新する程度の温度感のやつな認識

[yamarchy]

“リフレッシュ”

[shikiarai]

ん〜？

[uehaj]

アクセストークンはたとえばJWTでrevoke処理を考慮しない、リフレッシュトークンは払い出しベースでrevoke考慮するということかな

[lli]

アクセストークンを3で投げた先で悪用されるリスクがあり得るから分けてあるのでは。リフレッシュトークンは1,2の認証サーバとしかやり取りしない。

[NOV1975]

メモ帳かよ

[xenon_abe]

セッションID的なのを保持するだけなんじゃないの。そのセッションが有効なのか無効なのかはサーバー次第。

[napsucks]

トークンは入場券みたいなものと考えればわかりやすい。

[usaku]

“アクセストークンの有効期限が非常に短いのに比べて、リフレッシュトークンの有効期限は長いです。”