OAuth認証の仕組みについて

Question

OAuth認証について、分からない部分があります。
こちらのリンクにて、OAuth認証の説明記事を読んでいたのですが、以下の部分がいまいち分かりませんでした。

この場合、別のアプリケーションがユーザーの持つデータを保管しているサービスに、データの利用をリクエストします。このリクエストを受けるのがサービスの「認可サーバ」です。

認可サーバはリクエストに対し、アクセスを許可する認可情報であるアクセストークンの発行をして良いかユーザーに確認し、確認が取れればアプリケーションにアクセストークンを発行します。

例えばなのですが、メルカリでは、新規ユーザー登録の際にgoogleやfacebookのアカウントを用いた認証を行うことができますが、その場合、データのリクエストを行うのがメルカリ側であり、リクエストを受ける「認可サーバ」がgoogleやfacebookという理解で合っていますでしょうか？
また、「アクセストークンの発行をして良いかユーザーに確認」この部分なのですが、「ユーザー」とはメルカリの登録をgoogleやfacebookアカウントを用いて登録を試みようとしたユーザーのことを指しているのでしょうか？

Answer 1

その理解でいいのでは。

Comments

[退会済みユーザー]

＞その理解でいいのでは
「アクセストークンの発行をして良いかユーザーに確認」ここの部分なのですが、何故疑問だったかと申しますと、メルカリにて、ユーザー登録をする際、自分にそのような「アクセストークンを発行して良いか」といった確認がなされなかった為、ここの「ユーザー」とはなんなのかと疑問だったんですよね...

[tukatter]

FBとかなら設定　https://www.facebook.com/settings?tab=applications　のところをみると
発行状況や有効無効とかを設定することができたりします。
googleだと　https://myaccount.google.com/permissions　マイアカウントのセキュリティあたりにどのwebアプリと連携するか設定できたりします。

各アカウントを別のサービスでもログイン認証として使っていいか。
だけですのでサイトによっては確認自体を省略するところもあります。

許可しない場合だけ　google　Facebookなどにログインし
認証の不許可を行えばいいものと考えます。

[退会済みユーザー]

ご返信ありがとうございます。
なんとか、理解できてきました。
何度もすみません。
メルカリの例ですと、流れ的には、google側が、メルカリ側からきたリクストに対して、アクセスを許可するかをユーザーに確認するといった感じでしょうか？

[tukatter]

それでいいと思います。
ユーザー＝googleのアカウントにログインしている必要がある
　　　（複数ログインしている場合はどのアカウントを使うのか選択する）
google側→Googleの認証APIを使って　という捉え方で。

[退会済みユーザー]

分かりました！ありがとうございました。