CUTEｎ

Fork

Android 側でもユーザ名+パスワードで認証しよう、という話でしたが、どうせユーザ登録をウェブページ上で行うならトークン使った認証でもいいんじゃないかと思いました。

流れとしては、
- ウェブページ上でユーザ登録
- ここでユーザに固有のアクセストークンを生成
- プロフィールページ(仮)に表示されているアクセストークンを見て、ユーザは CUTEn にそのトークンを入力する
- CUTEn は認証が必要な HTTP リクエストを送るとき、常に「auth_token=アクセストークン」というパラメータを追加する
というようなものを想定しています。

アクセストークンはランダムな20文字の英数字です (単に devise [1] がこうなっているだけで、変更は可能)。
アクセストークンはリセット可能で、リセットした場合、古いアクセストークンは無効化されます。

[1] https://github.com/plataformatec/devise/

トークンを使った認証のメリットとしては
- CUTEn で「ログイン」のステップが不要
- なのでユーザ名・パスワードの保持/送信も不要
- ログインして Cookie のセッション ID を保持して… とかより CUTEn 側の実装が楽な気がする
あたりでしょうか。

逆にデメリットとしては
- ユーザにとって、ランダムな英数字20文字を入力するのは面倒かも
- ただしこれは、初回およびユーザが明示的にトークンをリセットしたときのみ必要
と考えています。

どうでしょうか。