OAuth2 Dynamic Client Registrationについて

Kaoru Maeda 前田 薫 @mad_p

OAuth2 Dynamic Client Registrationドラフト11読んでる。nativeアプリの登録をprotectedにすると、結局initialトークンの秘匿性が問題になる。openにするしかないか http://t.co/mIhAuWGyy3

nov matake @nov

@mad_p その辺はBlueButton+のドキュメントにもうちょっと細かく分類されてるので、そちらも参考にすると良いかもです。

Kaoru Maeda 前田 薫 @mad_p

@nov ありがとうございます。見てみます

Kaoru Maeda 前田 薫 @mad_p

#idcon で話題になってた医療情報統合システム。クライアント登録とディスカバリーの仕組みが勉強になる / “BlueButton+ Pull API, Dynamic Registration and Push Authori…” http://t.co/eCQvfRTcsk

Kaoru Maeda 前田 薫 @mad_p

登録だけはWeb経由でプロキシしてやる、というのが割といいセンか? でも、登録プロキシに接続してきたnativeが本物かという検査が必要になって、問題の場所が変わるだけ。オープンでいいじゃんと開き直るのがシンプルでよい。公式アプリに特権与えようとか考えなければ平和なんだなw

nov matake @nov

@mad_p 特権は諦めた方が良いかと思いますね。native appにclient_secret与えるのは、あくまでrefresh token渡したいから、というのが良いのかなと。それすらいらないなら、基本openでいいかなぁと思います。