ログイン済みの webview からログイン状態を保持して外部ブラウザを起動したい

Question

実現したいこと

webview でログイン済みの状態から、同ページを外部ブラウザで起動した時にログイン状態を保持した状態にしたい。

webview でログイン済みの状態で、外部ブラウザを起動するようなアプリを見ると、ログイン状態を保持した状態で外部ブラウザが起動されます。

このようなことをしたい場合、一般的な手法を知りたいです。

私が考えた方法は、
・外部ブラウザ起動前に、ログイン状態を引き継げるトークンのようなものをサーバと通信して取得する
・外部ブラウザ起動時に取得したトークンをクエリストリングに付与して開く
・サーバ側でそのクエリストリングのトークン値をサーバ側で保持しているセッション情報と照会
・照会できれば、ログイン済みの情報がセットされたセッション変数を作成し、cookie に保存してもらえるようにセッション ID を振り出す
です。

あとは、以下のことを考えています。
外部ブラウザ起動時の URL は、トークン受付用の URL で、トークンの照合処理完了後に指定 URL(本来開きたかった URL)にリダイレクトさせようと考えています。
トークン払い出し時は、PHP のセッション ID のようにトークンとそのユーザが紐づくようにします。
セキュリティとしては、払い出すトークンは 1 分とか短いもので、照会完了後に削除することで短い寿命で 1 度限りしか使用できないように考えています。
セッション ID の払い出しは、その web ページのログイン処理結果を返すものと同様にすることで、トークンでログインが完了する仕組みという感じを考えています。

一般的な手法が同様なものなのか、全く違うものなのかを知りたいです。
違う場合は、その手法を知りたいです。

---

「ログイン済み」の状態は、ID とパスワードをユーザが送信して認証を受けることを指しています
PHP で例えると、ID とパスワードからユーザ DB のレコードが照会できればログインを許可しセッション ID を払い出す、よくある認証方式なイメージです。

Comments

[退会済みユーザー]

質問者さんの言う「ログイン済みの状態」とはどういうことですか？　Web アプリの何らかの認証システムで、id と password をユーザーが送信して認証を受けるということ？　であれば、認証システムは何かのフレームワークを使う？　それは何？

[pectin]

質問ありがとうございます
「ログイン済み」の状態は、ID とパスワードをユーザが送信して認証を受けることを指しています
PHP で例えると、ID とパスワードからユーザ DB のレコードが照会できればログインを許可しセッション ID を払い出す、よくある認証方式なイメージです。

[退会済みユーザー]

> よくある認証方式なイメージです。

「よくある」とか言ってますが、質問者さん自身がよく分かってないのでは？　よくあるのはクッキーを使うやり方だと思いますけど、その場合「ログイン済みの状態から、同ページを外部ブラウザで起動した時にログイン状態を保持」はできると思いますか？

[pectin]

「よくある」の部分は、ご指摘の通り cookie を使う方法です。
その場合は、webview で保持している cookie と、外部ブラウザで保持している cookie は別物なので、この状態ではログイン状態の保持はできません。
そのため、外部ブラウザ起動時に連携用のトークンを使って外部ブラウザ起動側でもログイン済みの cookie を払い出すことで実現をしようかと考えています。
この方法よりもっとよい方法があるものなのかが知りたくて質問しました。
もちろん要件によるので「よい方法」とはなんですか？になるかもしれません。
うまく伝えられなくてすみません。

[退会済みユーザー]

そういう話ですと自分には「もっとよい方法」は提案できません。お役に立てずすみませんが他の方の回答をお待ちください。

[pectin]

こちらこそ、お時間取らせてしまう形になりお手数おかけしました。
ありがとうございました。

[hoshi-takanori]

OAuth とかじゃなく自前で認証を行うってことですよね。お書きの通り、一時的なトークン付きの URL をブラウザで開けばいけるとは思いますが、やったことはないので、セキュリティ的に大丈夫かちょっと不安が…。
https://stackoverflow.com/questions/43131335/share-credentials-between-native-app-and-web-site/

[pectin]

ありがとうございます
webview ログインができている状態でに外部ブラウザを起動した場合に再度ログインに必要な ID・パスワードの再入力がない状態になっていればよいので、寿命が極端に短い使い捨てのトークンを使う形で試して見ようと思います。
外部ブラウザ起動直前にトークンを取得し取得後即時ブラウザ起動、サーバ側でトークン照合後は破棄することでセキュリティをなるべく保てるように考えてみます。

[pectin]

SurferOnWww さん
意図を汲み取っていただけるように正しく説明できなかった点については、今後の課題として勉強します。
正しく説明ができきない = 自身の理解が足らないということを肝に命じます。
よい機会をありがとうございました。

Answer 1

webview ログインができている状態でに外部ブラウザを起動した場合に再度ログインに必要な ID・パスワードの再入力がない状態になっていればよいので、寿命が極端に短い使い捨てのトークンを使う形で試して見ようと思います。
外部ブラウザ起動直前にトークンを取得し取得後即時ブラウザ起動、サーバ側でトークン照合後は破棄することでセキュリティをなるべく保てるように考えてみます。