質問: OAuth 2.0のRFCを和訳をちらっと読んだら、abstractでは以下のように記載がありました。 > > OAuth 2.0 は, サードパーティーアプリケーションによるHTTPサービスへの限定的なアクセスを可能にする認可フレームワークである. サードパーティーアプリケーションによるアクセス権の取得には, リソースオーナーとHTTPサービスの間で同意のためのインタラクションを伴う場合もあるが, サードパーティーアプリケーション自身が自らの権限においてアクセスを許可する場合もある. > > > 質問 -- 「リソースオーナーとHTTPサービスの間で同意のためのインタラクションを伴う場合」はしっくりくるのですが、「サードパーティーアプリケーション自身が自らの権限においてアクセスを許可する場合」というのはどういうことなのか解説してもらいたいです。 前者はたとえば、WebサービスでユーザーがGoogleログインボタンをタップしたら、Googleの認証画面が出て、認可し、アクセストークンを取得できるという話だと理解しています。 後者はユーザーが何もしなくてもアクセストークンを取得できるということですか? ちなみに和訳でなくて原文も読みましたが、特に良い情報は得られませんでした。 参考 -- RFC6749の和訳
回答: 4.4節で説明されている**クライアントクレデンシャルグラント**方式は、リソースオーナーの認可操作を伴わない方式です。 質問箇所は、この方式を暗に指している記述かと考えます。 ちなみに、「1.3.認可グラント」節でOAuth2.0が定める4つの方式について一覧できますが、Googleなどが提供している、いわゆるソーシャルログインは1.3.1.認可コード方式によって実現されています(ので、想像されているものとは別のものです/利用するシチュエーションが異なります)。