TwitterのOAuth認証とXAuth認証の違いを図で書いてみた

Twitter系の研究を来年度も継続することになったので、OAuth認証とXAuth認証の違いを今一度図で説明します。以前にも「Twitterアプリを開発でOAuthを利用する際のはじめのはじめの一歩」で書きましたが、だいたい以下のような感じになると思います。まず、いずれの方法でも共通するのは、

• 最終的にはAccessTokenとTokenSecretを利用する

ということです。つまりこれらをどうやって入手するのかというのが違いになります。

OAuth認証（PINCODE-BASE）

OAuthでは、アプリにはID、Passwordは入力しません。それらはTwitterのサイトに入力します。アプリに入力するのはPINCODEであり、これはAccessTokenとTokenSecretを入手するために利用します。

なお、ブラウザベースのアプリであれば、OAuthでもPINCODEを利用しなくてもリダイレクトで対応できるらしいです（未確認）。この方法はわかり次第書きます。

XAuth認証

IDとPasswordは最初にアプリに入力し、アプリがTwitterサイトに認証確認をします。これによりAccessTokenとTokenSecretを入手します。この方法は、BASIC認証に近いような気もしますが、冒頭に書いたように、TwitterへのアクセスはAccessTokenとTokenSecretを用います。Basic認証では、常時IDとPasswordを用いますから、それに比べるとセキュリティの面で安心感があります。ただ、一時的にでもアプリにパスワードを渡すという点で心配なところもあります。

なお、XAuth認証はTwitterへの申請と許可が必要であり、デスクトップアプリで、かつ正当な理由でないと認められないらしいです。