Google Data API -2本の脚のAuthトークン再利用

Question

Google連絡先データAPIに2つの脚のOAuthを使用し、各リクエストでトークンを生成しています。

トークンを保存して次回再利用する必要がありますか？

また、古いトークンを検出する方法は？

Pythonを使用しています。 （およびGDATA Pythonクライアントライブラリ）。

編集：わかりました、私は、トークンはencrpytionでクライアント側で生成され、サーバー側から収集されていないため、各リクエストでトークンを生成しても問題ありません。私は正しいですか？つまり、トークンはユーザーの場合は決して変更されません（共有秘密を変更しない限り）

Answer 1

2つの脚のあるOauthシナリオには、トークンの作成が含まれないと思います。ユーザーがそのトークンを承認する必要があるため、ユーザーがインタラクション（3番目のレッグ）に参加している場合はトークンが必要です。

ユーザーは2本足のOAuthに直接参加していないため、トークンの承認はなく、したがってトークンを保存して作成する必要はありません。

基本的に2本足のOAuthとは、消費者としてのあなたが消費者の共有秘密（プロバイダーも知っている）でプロバイダーに行うリクエストに署名する必要があることを意味します。データを必要とするのは本当にあなたのアプリケーションであることを検証する方法。ただし、ユーザー（3番目のレッグ）が参加しないため、プロバイダーはあなたがそれを必要としないので、プロバイダーがあなたに与えるためにトークンを作成しません - プロバイダーが2つの脚をサポートし、あなたのアプリケーションがあなたのアプリケーションをサポートしている場合、あなたはデータに直接アクセスできますそのデータを使用できます。

2本足と3本の足のプロセスのフローを詳細に説明できる良い記事を以下に示します。

http://hueniverse.com/2008/10/beginners-guide-to-oauth-part-iii-security-architecture/

結論として何かを追加するために：

2本足のOAuthは単なる認証方法です。消費者は、秘密の鍵でリクエストに署名することで自分自身を認証します（これは、消費者が実際にリクエストを行っていることを確認します）。

3本足のOAuthは認証と承認です - 消費者は彼のシークレットキーとリクエストに署名することで認証され、彼はユーザーが許可する必要があるため、消費者が許可される必要があるため、消費者がプロバイダーに承認されたリクエストを行うことができます。