メールアドレスをキーにしてID連携を行う設計の危うさ｜ritou

ritouです。このしずかなインターネットにおける初投稿です。 おそらく、このしずかなインターネットのID連携では次のような設計になっていま「した」。問い合わせをさせていただき、対応いただきました。 これまでもQiitaなどで同様の実装例が紹介されていた際にはコメントさせていただいていたものですので、アンチパターンの紹介記事として読んでいただければと思います。 「Googleアカウントでログイン」ではじめると、ユーザーが作成され、Googleから受け取ったメールアドレス([email protected])が設定される 次回から「Googleアカウントでログイン」をすると、Googleから受け取ったメールアドレスでユーザーを参照 試しに、次のような流れで動作を確認してみます。 「Googleアカウントでログイン」でアカウント作成([email protected]) 「メールアドレス変更」

[psne]

ﾈｺﾁｬﾝえらい ／ (旧)Twitter連携などでも同じく、変更可能なID等ではなくアカウント固有IDを引っ張ってくる事が大事。

[flirt774]

開発者本人から修正のご報告　https://twitter.com/catnose99/status/1725290866586333384?t=g3BRid-AkJ-FD4wq6u0Wng&s=19　良い指摘だった様子

[sin20xx]

大事な指摘。このような指摘がなくなると、結果的にはそのサービスは不便であったり、不具合が放置され、内部的にそれを気付く事ができない場合はサービス終了に追い込まれる。利用者の為にも大事な指摘で助かるのよ

[Bosssuke]

か…かっこいい！ → "以上、初投稿でうるさいインターネットをしてしまい申し訳ございません。"

[tworks]

OpenID Connect実装のアンチパターンですね。OIDCを理解されないまま実装されたのかな。

[mak_in]

ここにも書いてあるけど、OIDCって普通にsubをキーにすれば良い。それ用の属性だし。最近では何も考えなくてもライブラリとか使うと、主キーとメールは分けてくれるし、OIDC使えばsubを主キーにしてくれる。

[queeuq]

開発者の反応も含めて良いコミュニケーション。指摘とレスポンスはこうありたい。

[kobito19]

本文typoのせいでややこしいな。6の変更後メールアドレスは ritou.06@gmail.com では /メールアドレスは単にエンドユーザーの属性であってidじゃないってだけの話 http://openid-foundation-japan.github.io/openid-connect-core-1_0.ja.html#ClaimStability

[punychan]

SSO対応サービスを立ち上げるときに、このキー変わるんじゃねって、よく考えれば気づくやつ。

[i_am_ume]

指摘の正誤とは別に、このような人達の視界に入らず、このような人達を視界に入れずにインターネットをしていたいなと思いました。

[ghostbass]

外部認証を使う場合の検討事項

[arakash]

メールアドレスをキーにしてID連携を行うアンチパターンの話

[diet55]

Google for developers「Google アカウントのメールアドレスは変更される可能性があるため、ユーザーの識別には使用しないでください。代わりに、クライアントで getBasicProfile().getId() を使用して取得できるアカウントの ID を使用

[ritou]

実際、海外のサービスはメアドをキーにして参照してるところも多く、何かあってもガン無視したり力業でサポートしたりします。が、そうしなくていいようにプラクティスがあるので意識していきましょうという話。

[strawberryhunter]

話が分かりにくい。2のメールアドレス変更で内部的にアカウントの種類をGoogleからメールアドレスに変更してメールアドレス自体も更新する必要があるのに4でまだ変更前のメールアドレスが存在している単なるバグ？

[tettekete37564]

これは20年以上前に私が1人で運用設計・システム設計したやつで念入りに検討した奴だ < メアド変更手続きで発生しうる問題点。途中で引き継いだ奴が内部ぶっ壊しちゃったから今は手動対応してるはず。

[uunfo]

「Googleアカウントでログイン」なのになんでメールアドレスをキーにしてるんだって話ね

[spark7]

「初投稿でうるさいインターネットをしてしまい申し訳ございません」zenn.devみたいな記事で、どういう使われ方だよと思ってしまった。

[h_taiji]

これにする

[mather314]

大事なことだな / “Google アカウントのメールアドレスは変更される可能性があるため、ユーザーの識別には使用しないでください”

[hecaton55]

googleアカウントの場合はメールアドレスはキーにならないというお話

[mumei-0]

“Google アカウントのメールアドレスは変更される可能性があるため、ユーザーの識別には使用しないでください。”

[tkouen]

外部サービスを使ってログインする場合、外部サービスのユニークなIDで自分のサービスに登録しているか見るのは普通だと思ってた。（自サービスではどの外部サービスか分かるようにしていることは前提）

[gwmp0000]

"代わりに アカウントの ID を使用し、" アカウントIDは知らないや メモしとかないと

[saikyo_tongaricorn]

初手全然静かじゃなくて草

[Shinwiki]

ユニークをメアドで担保してエンティティがUUIDみたいなやつ、なんかあった時だいたい飛ぶので実にうざい(おととい食らった)

[gfx]

この問題、該当するサービス多そう。

[razokulover]

まぁ確かにあるある実装ではある。ただzennでやれ感が。しずかなインターネットにしてはうるさすぎる。

[sabinezu]

IDに依存させないための仕組みなのにねぇ。

[mtk_inrs]

しずかなインターネットってこういう風にして使うのか…

[sora_h]

人はどうしてドキュメントを読まないのか

[shikiarai]

こんなサービスあるんか

[www6]

すべり出しは好調な模様。

[nemoba]

oidc側のidと自サービスのidは別になるから、だいたいemailで名寄せしてしまうサービスが多い。最近は電話番号増えてきたけど

[HiddenList]

さっそく　しずかなインターネットに　うるさひとが現れたのか？　／　しずかなインターネット　テストで登録しようにも　メールアドレスで登録しても　メールは届かない　実質Googleアカウント必須のようで　様子見だ