回答編集履歴

整理

2019/04/03 19:42

投稿

xenbeat

スコア4258

test CHANGED Viewed

@@ -6,7 +6,7 @@
-ただ、そもそも質問者さんの場合は```Laravel Passport (OAuth2)```を使う必要はありません。
+ただ、そもそも**質問者さんの場合は**```Laravel Passport (OAuth2)```を使う必要はありません。
 追記依頼の質問に対する回答が「自サイト（同一ドメイン）のみでのやり取りを考えています」とのことですので。
@@ -24,11 +24,11 @@
 どこまで```OAuth2```を理解されているかわかりませんが、仕様は[rfc6749](https://tools.ietf.org/html/rfc6749)で定義されています。
-そちらの冒頭にも記載されている通り、基本的に**```OAuth2```はデータへのアクセスを```third-party application```に許可するためのフレームワーク**です。
+そちらの冒頭にも記載されている通り、基本的に**```OAuth2```はデータへのアクセスを```third-party application```に「許可」するためのフレームワーク**です。
-もちろん質問者さんがやろうとしているように```OAuth2```を```first-party application```に適用できないことはないですが```OAuth2```の本来の目的から外れる上、導入の費用対効果が低いのでオススメしません。
+もちろん質問者さんがやろうとしているように```OAuth2```の[Resource Owner Password Credentials Grant](https://tools.ietf.org/html/rfc6749#section-4.3)（以下Password Grant）を```first-party application```の「認証」に適用できないことはないですが```OAuth2```の本来の目的から外れる上、費用対効果が低いのでオススメしません。
@@ -36,19 +36,13 @@
-そんなこと気にもしたことない開発者も多くいると思いますが。。。
-べき論で```client_secret```を隠すのであれば、[こちら](http://esbenp.github.io/2017/03/19/modern-rest-api-laravel-part-4/)のようにクライアントの認証情報をサーバーに隠すことになるでしょう。
+もし```Laravel Passport```（以下パッケージ）が要求する```client_secret```をべき論で隠すというのであれば、[こちら](http://esbenp.github.io/2017/03/19/modern-rest-api-laravel-part-4/)のようにクライアントの認証情報をサーバーに隠すことになるでしょう。
-しかし、そもそもrfc的にはPassword Grantで```client_secret```を渡す必要が基本的にありません。
+しかし、そもそもrfc的にはPassword Grantで```client_secret```を渡す必要が基本的にありませんので、```client_secret```を必ず渡さないといけないというのはパッケージ独自の仕様となります。
 [https://tools.ietf.org/html/rfc6749#section-4.3.2](https://tools.ietf.org/html/rfc6749#section-4.3.2)
-つまり```client_secret```を要求するのは```Laravel Passport```（パッケージ）の仕様で、そのPassword Grantの実装は[Resource Owner Password Credentials Grant](https://tools.ietf.org/html/rfc6749#section-4.3)に完全準拠していないということになります。
@@ -62,11 +56,11 @@
-以上、もし```Laravel Passport```を使う明確な理由をお持ちで、どうしてもそれを使わなければならないというのであれば引き止めはしませんが、別の方法をおすすめしますという回答になります。
+以上の通り、もし```Laravel Passport```を使う明確な理由をお持ちで、どうしてもそれを使わなければならないというのであれば引き止めはしませんが、**質問者さんの場合は**別の方法をおすすめしますという回答になります。
-以下はTeratailで関連する質問です。```OAuth2```の仕様を絡めてそもそも的な回答はないですが、少しでも参考になれば。
+以下はTeratailで関連する質問です。```OAuth2```の仕様を絡めてそもそも的な回答ではないですが、少しでも参考になれば。
 [API - laravelを使ってapiサーバを作る際のログイン認証の仕組みで困っています。｜teratail](https://teratail.com/questions/89466)

誤字

2019/04/03 19:42

投稿

xenbeat

スコア4258

test CHANGED Viewed

@@ -42,7 +42,7 @@
-しかしながら、そもそもRCF的にはPassword Grantで```client_secret```を渡す必要が基本的にありません。
+しかし、そもそもrfc的にはPassword Grantで```client_secret```を渡す必要が基本的にありません。
 [https://tools.ietf.org/html/rfc6749#section-4.3.2](https://tools.ietf.org/html/rfc6749#section-4.3.2)

ちょと整理

2019/03/30 17:34

投稿

xenbeat

スコア4258

test CHANGED Viewed

@@ -2,21 +2,19 @@
-はい、secretという名の通り秘匿するべきです。
+secretという名の通り秘匿するべきものです。
-ただ、そもそも質問者さんの場合は、```Laravel Passport (OAuth2)```を使う必要はありません。
+ただ、そもそも質問者さんの場合は```Laravel Passport (OAuth2)```を使う必要はありません。
-追記依頼の質問に対する回答が
+追記依頼の質問に対する回答が「自サイト（同一ドメイン）のみでのやり取りを考えています」とのことですので。
-> 自サイト（同一ドメイン）のみでのやり取りを考えています。
+> LaravelとVue.jsを使いmailとpasswordでログイン出来る仕組みを作成
-とのことですので。
 Laravelがデフォルトで用意しているトークンで対応するか、
@@ -30,15 +28,29 @@
-もちろん質問者さんがやろうとしているように```OAuth2```を```first-party application```に適用できないことはないですが、```OAuth2```の本来の目的から外れる上、導入の費用対効果が低いのでオススメしません。
-あと、```Laravel Passport```（[```League OAuth2 server```](https://github.com/thephpleague/oauth2-server)）のPassword Grant Tokensが[Resource Owner Password Credentials Grant](https://tools.ietf.org/html/rfc6749#section-4.3)に完全に準拠していないためオススメしません。
+もちろん質問者さんがやろうとしているように```OAuth2```を```first-party application```に適用できないことはないですが```OAuth2```の本来の目的から外れる上、導入の費用対効果が低いのでオススメしません。
-もし```Laravel Passport```を使う明確な理由をお持ちで、どうしても```Laravel Passport```を使わなければならないんだというのであれば引き止めはしません。
+> もし、秘匿すべきものであれば秘匿方法などご教授いただきたいです。
-基本的には[Resource Owner Password Credentials GrantのAccess Token Request](https://tools.ietf.org/html/rfc6749#section-4.3.2)の通り、Password Grantで```client_secret```を渡す必要がありませんが、パッケージを使う場合それを要求してくるならそのルールに従うしかないと思います。
+そんなこと気にもしたことない開発者も多くいると思いますが。。。
+べき論で```client_secret```を隠すのであれば、[こちら](http://esbenp.github.io/2017/03/19/modern-rest-api-laravel-part-4/)のようにクライアントの認証情報をサーバーに隠すことになるでしょう。
+しかしながら、そもそもRCF的にはPassword Grantで```client_secret```を渡す必要が基本的にありません。
+[https://tools.ietf.org/html/rfc6749#section-4.3.2](https://tools.ietf.org/html/rfc6749#section-4.3.2)
+つまり```client_secret```を要求するのは```Laravel Passport```（パッケージ）の仕様で、そのPassword Grantの実装は[Resource Owner Password Credentials Grant](https://tools.ietf.org/html/rfc6749#section-4.3)に完全準拠していないということになります。
 パッケージが```client_secret```を要求することについては以下で議論されてるっぽいので、将来的に```client_secret```を渡さなくても良くなるかもしれません。
@@ -48,6 +60,12 @@
+以上、もし```Laravel Passport```を使う明確な理由をお持ちで、どうしてもそれを使わなければならないというのであれば引き止めはしませんが、別の方法をおすすめしますという回答になります。
 以下はTeratailで関連する質問です。```OAuth2```の仕様を絡めてそもそも的な回答はないですが、少しでも参考になれば。
 [API - laravelを使ってapiサーバを作る際のログイン認証の仕組みで困っています。｜teratail](https://teratail.com/questions/89466)

edit

2019/03/30 17:31

投稿

xenbeat

スコア4258

test CHANGED Viewed

@@ -32,13 +32,13 @@
 もちろん質問者さんがやろうとしているように```OAuth2```を```first-party application```に適用できないことはないですが、```OAuth2```の本来の目的から外れる上、導入の費用対効果が低いのでオススメしません。
-あと、Laravel Passport（[League OAuth2 server](https://github.com/thephpleague/oauth2-server)）のPassword Grant Tokensが[Resource Owner Password Credentials Grant](https://tools.ietf.org/html/rfc6749#section-4.3)に完全に準拠していないためオススメしません。
+あと、```Laravel Passport```（[```League OAuth2 server```](https://github.com/thephpleague/oauth2-server)）のPassword Grant Tokensが[Resource Owner Password Credentials Grant](https://tools.ietf.org/html/rfc6749#section-4.3)に完全に準拠していないためオススメしません。
 もし```Laravel Passport```を使う明確な理由をお持ちで、どうしても```Laravel Passport```を使わなければならないんだというのであれば引き止めはしません。
-基本的には[Resource Owner Password Credentials GrantのAccess Token Request](https://tools.ietf.org/html/rfc6749#section-4.3.2)の通り、Password Grantで```client_secret```を渡す必要がありませんが、```Laravel Passport```を使う場合パッケージがそれを要求するならそのルールに従うしかないと思います。
+基本的には[Resource Owner Password Credentials GrantのAccess Token Request](https://tools.ietf.org/html/rfc6749#section-4.3.2)の通り、Password Grantで```client_secret```を渡す必要がありませんが、パッケージを使う場合それを要求してくるならそのルールに従うしかないと思います。
 パッケージが```client_secret```を要求することについては以下で議論されてるっぽいので、将来的に```client_secret```を渡さなくても良くなるかもしれません。