Q&A

短期チャネルアクセストークンの発行制限

(長期は検討の対象外で差し支えないと理解しておりますので除外しております)

短期チャネルアクセストークンとチャネルアクセストークンv2.1の主な違いは ・任意の有効期限を設定できるか ・アサーション署名による署名検証をトークン発行時の認証としておこなっているか だと理解しております。

特に後者の署名検証は,チャネルアクセストークンを発行時のセキュリティ性を高めるものであり, 2つの平文の文字列(client_id,client_secret)のみで認証が通りトークン発行できる短期チャネルアクセストトークンとの差別化が図られているものと存じます。

そのため,LINE API群を使用するにあたり, 短期チャネルアクセストークンの利用はせずにチャネルアクセストークンv2.1のみを利用したいのですが, 現状,短期チャネルアクセストークンの発行を制限する手段がない認識です。 発行上限の30件に達していても,新規発行時には古いものから削除されることになっており制限できない認識です。

何らかの手段で,短期チャネルアクセストークンを発行できなくすることはできないでしょうか。

  • 0
  • 2
  • 110
  • twitter facebook

そうなんです。v2.1を採用するメリットの一つがセキュリティ性と理解しておりまして、そのメリットが得られなくなってしまう実装にLINE社がしているとも考えにくく、設計の意図や見解も気になるところです。。

  • 0

(回答ではないのですが、) 確かにドキュメントを見る限り、短期チャネルアクセストークンの発行を防ぐ方法や、 あるいは短期チャネルアクセストークンが発行されたことを検知する方法は無いように思いますね。。

  • 1
本当によろしいですか? question.vm