OAuth認証の仕組みについて

近年、マッシュアップと呼ばれる仕組みが流行しており、
既存のWebサービスが次々とつながり、新たなWebサービスが登場している。
しかし、メールアドレスなど重要な個人情報が意図せずに「つながれてしまう」可能性もある。
そこで登場したのがアクセス権の「委譲」を目的としたプロトコル、OAuthです。

■ OAuth認証(オーオース)
～　自分のアカウントへのアクセスを、ID・パスワードを渡さずに
第三者のサービスから利用できるようにする仕組み。





【事前準備】
・Consumer登録
１．事前にProviderにConsumer登録をしておく。
２．登録すると、Consumer KeyとConsumer Secretが発行される。
３．Consumer KeyとConsumer Secretは、以降のOAuth認証で使用する。


【OAuth認証の流れ】
・ユーザは、ConsumerにOAuth認証を行うように指示する。
１．通常は、Consumerのページにあるログインボタンなどをクリック。

・Consumerは、Providerからリクエストトークンを取得する。
１．Consumerは、ProviderへHttp通信でリクエストトークンを要求する。
（その際に、事前に発行されているConsumer Keyと、Consumer Secret
の値をパラメータとして付与します。）
２．ProviderはHttpのレスポンスとしてリクエストトークンを返す。

・認証用URLへのリダイレクト・ユーザ承認
１．Consumerは、発行されたリクエストトークンをURLに付与して、
Providerの認証用URLへリダイレクトを行う。
２．リダイレクト先で、Providerがユーザに対して、
Consumerが要求しているOAuth認証によるAPI利用を許可するか選択します。
３．承認した場合は、Providerは(通常は)Consumer登録時に設定した
コールバックURLへリダイクレトする。

・アクセストークンの取得
１．コールバックURLへのリダイレクトで、Consumerはリクエストトークンを
もとにアクセストークン取得をHttp通信でProviderへ要求する。
２．アクセストークン取得要求は、Consumer Keyとリクエストトークンなどを
パラメータに付与して呼び出す。(通常はAuthorizationヘッダに設定)
３．アクセストークン取得要求のパラメータも、Consumer Secretで署名した
値を付与する。
４．Providerは、レスポンスとしてアクセストークンを返す。

・OAuthでのAPI呼び出し
１．実際のAPI呼び出しは、取得したアクセストークンをパラメータに
付与して呼び出す。
２．アクセストークンとConsumer Key、およびパラメータをConsumer Secretで
署名した値を、Authorizationヘッダに設定に設定してAPIを呼び出すことで、
OAuth認証を利用したAPI呼び出しができる。