WEB APIを自己開発したモバイルアプリからのみ叩けるようにしたい

Question

趣味でPC/モバイル向けのWEBサービスの作成に取り組んでおります。モバイルアプリ側からWEB APIを叩いて、バックエンド（Rails）からJSONを受け取ってアプリ側で処理を行うのですが、このWEB APIを私が作成したアプリからのみ実行可能とするように制限したいと考えています。

そこで、WEB APIの開発に関して次の2つの質問があります。
1.　前述の要件を満たすには、『WEB APIにログイン機構を実装して、何かしらのキーをバックエンド側とアプリ側の両方に一時的に持たせて、認証が成功した場合のみリクエストを受け付けるようにする』とすれば良いのではないかと考えておりますが、この理解が間違っていないかどうか教えていただけないでしょうか。また、この理解が誤っているようであれば、どのような方針で開発すればよいかアドバイス頂けないでしょうか。
・参考にしたURL　https://teratail.com/questions/120099

2.　そもそも、WEB APIにログイン機構を実装せず、前述の要件を満たすことはできないでしょうか。もし可能であれば、方法についてアドバイス頂けますと幸いです。

以上になります。
どうぞよろしくお願いいたします。

Comments

[退会済みユーザー]

質問者さん、無言ですが、回答したのでそれに対するフィードバックをタイムリーに返してください。役に立った/立たなかったぐらいはすぐに返せるのでは？ 役に立たなかったならどこがダメかを書くとより期待に近い回答が出てくるかも。とにかく無言は NG です。

[Makimoto]

大変失礼いたしました。別途フィードバックをコメントいたしましたので、ご確認ください。以後質問をする際は、ご指摘の点について留意するように心がけます。

Answer 1

1.　前述の要件を満たすには、『WEB APIにログイン機構を実装して、何かしらのキーをバックエンド側とアプリ側の両方に一時的に持たせて、認証が成功した場合のみリクエストを受け付けるようにする』とすれば良いのではないかと考えておりますが、この理解が間違っていないかどうか教えていただけないでしょうか。

間違ってないと思います。

認証システムとしては、Web API の場合、私が知る限りですが、ベアラトークンベースの認証を使うことが多いと思います。

Ruby は分かりませんが、フレームワーク組み込みの認証システムがあるのではないでしょうか？　探してみてはいかがですか。

ちなみに、ASP.NET Web API ではフレームワーク組み込みの認証システムを利用できます。

ASP.NET Web API の認証
http://surferonwww.info/BlogEngine/post/2018/12/17/aspnet-web-api-authentication.aspx

敷居は高いですが、認証サーバーを立てるという方法もあります。

IdentityServer で Web API の認証を サポート
http://surferonwww.info/BlogEngine/post/2022/04/08/identityserver-for-user-authentication-in-aspnet-core-web-api.aspx

2.　そもそも、WEB APIにログイン機構を実装せず、前述の要件を満たすことはできないでしょうか。

認証システムなしでは不可能・・・とまでは言えないかもしれませんが、少なくとも現実的ではないと思います。

Comments

[Makimoto]

WEB APIの認証の実装に関して幅広いアドバイスを頂け大変助かりました。特に、「ベアラートークン」という概念をご教示いただけたおかげで、情報検索がとてもやりやすくなりました。Railsでの実装例などもいくつか見つかったので、本件に関しては認証機構を実装して対応する方針で進めていくことにします。この度はどうもありがとうございました。