AndroidでOAuth認証をしたい - kurukuru-papaのブログ

タイトルのまんまなのですが、Androidで、OAuth2.0認証をしたくなったので、調べてみました。なかなか理解できませんでしたが、何とか実装することができました。自分が理解したことをまとめてみたいと思います。
なお、私は、WebアプリケーションでOAuth1.0認証を行った経験はありましたので、OAuthの概要については、理解しているつもりでした。

難しかったところ

簡単に沢山の情報が見つかり、それぞれ分かりやすく具体的に書かれていましたが、どれも実装方法が異なり、どの実装方法を参考にすれば良いか、わかりませんでした。
実装方法が異なるのは、アプリケーションの形態や、ユーザーへの見せ方、使用ライブラリなどが異なるためでした。

実装パターン一覧

調べてみた実装方法について、自分なりに解釈した内容を表にまとめてみました。今回は、Androidアプリの実装方法に注目していますが、比較のため、Webアプリケーションとコンソールアプリケーションも記述しています。私がざっと調べて見つけた実装方法のみ記述していますので、探せば他にも色々あると思います。

パターン番号	アプリケーション形態	接続先	認証画面UI	ライブラリ	ユーザ操作
1	Androidアプリ	各Webサービス（コールバック）	WebView	未使用 or 各種ライブラリ	ID・パスワード入力
2	〃	〃	ブラウザアプリ	〃	〃
3	〃	各Webサービス（OOB）	ブラウザアプリ	〃	ID・パスワード入力。PINのコピー＆ペースト。
4	〃	Googleサービス	ブラウザアプリ	Google APIs Client Library for Java ※1,2	ID選択。パスワード不要。
5	〃	Googleサービスのみ？	Android OS	Android SDK (AccountManager)	ID選択。パスワード不要。
6	Webアプリケーション	各Webサービス（コールバック）	ブラウザ	未使用 or 各種ライブラリ ※2	ID・パスワード入力
7	コンソールアプリケーション	各Webサービス（OOB）	ブラウザ	〃	ID・パスワード入力。PINのコピー＆ペースト

※1　「Google APIs Client Library for Java」と同様のライブラリとして「Google Data Java Client Library（gdata-java-client）」というものもありました。「Google Data Java Client Library（gdata-java-client）」は、2012年3月頃で開発が止まっているようで、「Google APIs Client Library for Java」の前世代のライブラリのようでした。

※2　「Google APIs Client Library for Java」は、Androidアプリでも、Webアプリケーションでも使えます。たぶん、コンソールアプリケーションでも使えると思います。使う場合は、Androidアプリの場合、GoogleAccountCredentialクラス、GoogleAuthUtilクラスを使います（GoogleAccountCredentialクラスは内部でGoogleAuthUtilクラスを使用）。Webアプリケーションの場合、GoogleAuthorizationCodeFlowクラスを使います。

Androidアプリにおける実装パターン１～５について、画面イメージは次のようになります。

実装パターン１

アプリケーション形態：Androidアプリ
接続先：各Webサービス（コールバック）
認証画面UI：WebView
ライブラリ：未使用、各種ライブラリ使用のいずれでも実装可能
ユーザ操作：ID・パスワード入力

自作アプリです。OAuth認証を行うきっかけを用意しておきます。ここでは、開始ボタンを用意しました。

自作アプリの内部に、WebViewを使用して、各Webサービスの認証画面を表示します。ここでは、Twitterの認証画面を表示しています。認証画面を表示する時には、コールバックURLを設定します。コールバックURLは、認証完了後に呼ばれるURLで、自作アプリ用のURLを設定しておきます。ユーザは、アカウントのIDとパスワードを入力し、アクセス権限を確認します。

認証後、自作アプリから、各Webサービスの情報にアクセスできるようになります。ここでは、アカウント情報を取得し、画面表示してみました。

この実装パターンは、Androidアプリでもよく見かける気がしますし、Webアプリケーションにおいても同じ流れになりますので、ユーザーにとっては、慣れている操作手順かもかもしれません。

ただし、セキュリティ的な危険性を指摘するブログなどを見かけました。悪意ある開発者であれば、自作アプリ内のブラウザで入力されたアカウントのIDとパスワードを盗み取ってしまえるらしいです。ですが、個人的には、自作アプリなり、開発チームや会社などが、ユーザから既に信頼を得られているのであれば、この方式でも概ね受け入れられている気がします。

実装パターン２

アプリケーション形態：Androidアプリ
接続先：各Webサービス（コールバック）
認証画面UI：ブラウザアプリ
ライブラリ：未使用、各種ライブラリ使用のいずれでも実装可能
ユーザ操作：ID・パスワード入力

基本的には、実装パターン１と同じですが、WebViewの替わりに、Android端末内にインストールされているブラウザアプリを呼び出す方式です。

自作アプリです。開始ボタンをタップするとブラウザアプリを起動します。

端末内に複数のブラウザアプリがインストールされ、デフォルトが決められていない場合、ブラウザアプリを選択するダイアログが出ます。認証完了後に自作アプリが呼ばれるように実装しておきます。
　

認証後、各Webサービスの情報にアクセスできます。

この実装パターンは、WebViewを使った時と比べて、セキュリティ面が改善されています。ブラウザアプリに入力されたアカウントのIDとパスワードを盗み取ることが困難なためです。

実装パターン３

アプリケーション形態：Androidアプリ
接続先：各Webサービス（OOB）
認証画面UI：ブラウザアプリ
ライブラリ：未使用、各種ライブラリ使用のいずれでも実装可能
ユーザ操作：ID・パスワード入力と、PINのコピー＆ペースト

実装パターン２と比較して、各Webサービスの画面から、自作アプリへの戻り方が異なります。

自作アプリです。ここでは、連携確認ボタンをタップするとブラウザが起動するようにしました。

各Webサービスで認証後、PINと呼ばれるコードが払い出されます。ユーザにPINをコピーしてもらい、自作アプリへ戻ってもらいます。
　　

自作アプリに先ほどのPINを貼り付けてもらいます。このPINを使って、各Webサービスに接続し、情報にアクセスできるようになります。
　

PINを使うことで、各Webサービスと自作アプリの連携が少なくなりますので、セキュリティ面が安全になるようです。ただし、ユーザの操作性が悪くなるため、個人的にはあまり使いたくない実装パターンだと思います。

なお、ブラウザアプリの替わりに、WebViewを使用して実装することもできます。しかしながら、PINを使うことのセキュリティ面のメリットが失われてしまいますので、あまり意味がないと思います。

実装パターン４

アプリケーション形態：Androidアプリ
接続先：Googleサービス
認証画面UI：ブラウザアプリ
ライブラリ：Google APIs Client Library for Java 使用
ユーザ操作：ID選択。パスワード不要。

実装パターン４は、今まで説明した実装パターンとは、だいぶ異なります。
この実装パターンが使えるのは、Android端末で、Googleアカウントのみです。

自作アプリです。

まず、認証に使用するGoogleアカウントを決定します。ここでは、Android SDKのAccountManagerを使用し、Androidの機能を呼び出して、端末に登録されているGoogleアカウントから、今回使用するアカウントを選択してもらいました。新規にGoogleアカウントを端末に追加して、使用することもできるようです。Googleアカウントを選択するだけで、パスワードの入力は不要です。（なぜ、パスワードがいらないのだろう？あまり理解できていないです。）
　

認証後、Googleサービスの情報にアクセスできます。

この実装パターンでは、ユーザ操作がかなり簡単ですね。文字を入力することがなく、数回タップするだけです。
ただし、セキュリティ面はどうでしょう？端末を紛失して、悪意ある人に使われてしまうと、勝手に認証操作を行われてしまいそうです。とはいえ、端末を奪われた時点で、もっと大きな問題が発生するでしょうから、他者に操作される懸念は別の観点で考えたほうがよいのではないでしょうか。

実装パターン５

アプリケーション形態：Androidアプリ
接続先：Googleサービスのみ？
認証画面UI：Android OS
ライブラリ：Android SDKのAccountManager使用
ユーザ操作：ID選択。パスワード不要。

実装パターン５は、ユーザにとって、実装パターン４と似たように見えるかもしれませんが、実装は別物です。認証情報が管理される場所も異なります。実装パターン１～４では、各Webサービスのサーバ側で認証情報が管理され、各WebサービスがWeb上で提供しているアカウント管理画面から認証を解除することができました。しかし、実装パターン５では、Android端末側で管理されるようです。Web上のアカウント管理画面を見ても、自作アプリとアカウントが紐づいていることが分からない状態となっていました。どうしたら認証状態を確認できるのか、どうしたら解除できるのか、わかりませんでした。

自作アプリです。