OAuthOpen Authorization

OAuth は、Twitter API 黎明期に生まれた「認可委譲」の標準プロトコルで、ユーザーのパスワードを直接サードパーティに渡すことなく、限定権限のアクセストークンで API 利用を許可する仕組みを定めます。OAuth 1.0 (RFC 5849) は HMAC-SHA1 署名で複雑、OAuth 2.0 (RFC 6749) はトークンベースでシンプル化され主流になりました。OAuth は厳密には「認可 (Authorization)」プロトコルであり、「認証 (Authentication)」には OpenID Connect が上位レイヤーで使われます。役割は Resource Owner (利用者) / Client (アプリ) / Authorization Server (認可サーバー) / Resource Server (API) の4者で、scope によって権限の粒度を制御します。Twitter / GitHub / Google / Facebook の「○○でログイン」の裏側で利用されています。