OAuth2.0（外部認証）を使った掲示板WEBサイトでの管理人について

Question

自分のIDを「管理者」と判断させて処理を分岐して良いか？

Node.jsとExpressフレームワークを利用した、掲示板サイトを作成しています。

passportモジュールを利用し、TwitterAPIなどの外部認証機能によってアカウントを管理しようと実装しているのですが、その場合の「管理人」は、自分が利用している（例えば）TwitterのアカウントIDを「管理者」として処理を分けることは適切でしょうか？

• （例）自分のアカウントは、利用ユーザーと同じく投稿もでき、かつ不適切な投稿を削除できる。

それとも、また違った認証方法を用いて「管理人」を登録した方が適切でしょうか？

運営上のアドバイスなどございましたらご教示していただけると幸いです。

Answer 1

認証については、安心安全なtwitterに任せてしまうのはありだと思います。

丁寧に作るのであれば、投稿と削除の認可は別々にするべきです。

oauthというか、openidconnectの仕様でプロフィール情報を得るのですが、その情報はユーザーとは別のadmin tableのような場所に新規登録します。
投稿を削除する場合は、登録されたadmin userかどうか確認して、実際に削除するという具合です。

Comments

[Netaroh_pro]

回答していただきありがとうございます。
実験用に開発しているものは、自分のid === admin Idとしてconfigファイルに設定していたのですが、テーブルを別に作るという発想は大変勉強になりました。

また、openId connect というものを知らなかったので、勉強してみます。
ありがとうございました！