認証・認可はわかりづらい

最近認証・認可について調べることがあり、名前とどんなものかはざっくりと知っている状態でした。
ただ、誰かに説明して、と言われると自信がないのでまとめてみようと思いました。

今回は認証・認可のプロトコルについてです。

この内容について説明されているサイトや記事をいろいろ見たのですが、説明文がながーくて、読んでるだけで眠くなりそうでした・・・笑

ということで簡単に説明したほうがいいなと感じたので、箇条書きで特徴を書いてみました。
説明不足と感じるかもしれないけど、とっかかりとしてはいいのではと思います。

共通点

OAuth2との混同防止のため、OAuth1と書いているところもある。

OAuthの進化系

トークンベース方式
HTTPS必須
下記の認証フローがある
- Authorization Code Flow　（認可コード付与）
- Implicit Flow　（暗黙的な付与）
- Client Credentials Flow　（クライアントシークレット）

OAuth2の拡張版

*こちら厳密にいうと、SSOが使えない場合もあります。
OpenID Connectの標準仕様に沿っているサービスであれば使用することができる。

大雑把にまとめるとOpenID Connectが一番新しくてセキュアなプロトコルで拡張性もあるということです！
認証・認可はトークンのやりとりや暗号化などフローが複雑だったり、専門用語が乱立しているのでわかりづらいのだと思います。

この辺なんとかわかりやすく解説できないかなって考えたんですが、噛み砕いて説明している記事とかも結構あってみてみても私自身わかりづらかったです。

そして自分の中の結論はわかりづらいのは「慣れていないから」

慣れていないからどんな解説をみても理解が難しいのだと思います。
なので、プログラミング同様実際に手を動かして覚えるしかないのだと思いました。

認証・認可系のサービスはいろいろあるので、以下に代表的なサービスをあげておきます。

上記いずれも無償で使える枠があったと思うので、試してみてください。