Noteビジネスチャット「チャットワーク」のエンジニアとデザイナーのブログです。ビジネスチャット「Chatwork」のエンジニアとデザイナーのブログです。テクニカルセッションに行ってきましたーAWSこんにちは。今回、弊社のかとじゅんさんが登壇されるということと、興味深いいくつかのセッションを聴講するという名目で参加させていただきましたので、レポートを上げさせていただきますー。aws.amazon.com私が聴講させていただいたセッションは、以下となっており、それぞれ簡単に内容と所感を述べさせていただければと思います。Scalaこんにちはかとじゅん(@j5ik2o)です。akka-httpで特定の失敗条件を元に、特定のリクエストをブロックするための仕組みを、akka-guardとして実装したので、設計思想や使い方に関して簡単にお知らせします。リクエストをブロックする対策を想定しています。設計は主に僕がやりましたので僕の方から紹介します。実装は主に藤井(@yoshiyoshifujii)さんにお願いしたので、後半は藤井さん対応で。16:35akka-httpでの総当たり攻撃(brute-force-attack)対策についてもっと読むコメントを書く2018-10-29IFTTT対応と開発についてIFTTTこんにちは、サーバーサイド開発部の原田です。前回はこちらの記事でIFTTTというサービスおよび使い方についてご紹介しました。creators-note.chatwork.com今回はIFTTT連携の開発において苦労、および工夫した点について書きたいと思います。15:40IFTTT対応と開発についてもっと読むコメントを書く2018-10-19IFTTT対応と使い方についてIFTTTこんにちは、サーバーサイド開発部の原田です。先日IFTTT連携をリリースしましたので、そのことについて書きたいと思います。今回のリリースにより、プログラミング不要で簡単に、さまざまなサービスとチャットワークを連携させることができるようになりました。OAuthかとじゅん(@j5ik2o)です。OAuth2を使った、チャットワークAPI開発者向けのリリース情報です。Clients)をリリースしました*1。ドキュメントの修正が間に合っていないので、後追いで修正させていただきます。現状のPKCEの実装には一部制限がありますので、開発者の方は最後までこの記事に目を通していただけると助かります。PKCEとは、認可コード横取り攻撃対策のためのOAuth2の拡張仕様です。詳しくは以下のブログ記事などを参考にしてください。Flowで「ブラウザ上のJSやモバイルアプリなど」のパブリッククライアント*2を認可させるための拡張仕様です。OAuth2クライアントとしてのサーバなしで、ブラウザやモバイルアプリなどの端末上で動作するアプリケーションが、直接的にOAuth2クライアントとして実装できます。*1:PKCEはピクシーと呼ぶそうです*2:クライアントシークレットを安全に秘匿できない環境で動作するOAuth2クライアントのこと。OAuthJWTを使うことは難しい?こんにちは、かとじゅん(@j5ik2o)です。最近、JWTに関する以下のブログが話題です*1。co3k.orgこのブログで言及されているのは、JWTをセッションの保存先に選ぶことで「何が問題なの?」に書かれているリスクがあるよ、という話*2。確かにいくつか検討することがありますね。auth0.hatenablog.comauth0の中の人?よくわからないけど、反論的なブログエントリが公開されています。この記事では、指摘の問題が起こらないように設計するのはあたり前では?という意見みたいです。ごもっともではないでしょうか。私も技術そのものというより、要件に合わせて技術を組み合わせる設計の問題だと思っています。加えて、JWTを利用することはそんなに難しいことかという疑問があったので、考えをまとめてみることにしました。*1:JWTがよくわからないという方は、yahooさんのブログを参照ください*2:ブログの内容からは、「JWTの使い方を気を付けないとリスクがあるよ」と解釈できます。ブログが「JWTをなぜ使うの?」と解釈できるタイトルになっています。9/21にタイトルが変更されたようで、意図がわかりやすくなりましたね。2018のスピーカーディナーに参加した勢いで書きました。@kyo_agoです。(1)スターをつけました引用をストックしましたストック一覧を見る閉じる引用するにはまずログインしてくださいログイン閉じる引用をストックできませんでした。再度お試しください閉じる限定公開記事のため引用できません。