「読み取りだけ」は本当に読み取りだけか

4 分で読む

連携ツールの設定画面で「読み取りのみ」を選ぶと、安心します。

ただ、その選択肢が用意されているかどうかは、使う側ではなく製品が決めています。用意されていなければ、渡るのは全部できるトークンです。

調査記録で公開しているシステムのうち、API 定義を保存できている 16 本について、入口の数と、絞るための札の数を数えました。

札の数は 0 から 122 まで開く

ここでいう入口は API 定義に書かれた経路の数、札はその API が用意しているスコープの数です。どちらも定義ファイルから数えられます。

入口の数と札の数

「—」は札が無いという意味ではありません。保存した定義に認証の宣言そのものが無く、こちらからは読めなかった、という記録です。

札が粗いと、何を読むかは選べない

freee 会計の API 定義は、スコープを 2 つだけ宣言しています。

この 2 枚で 96 の入口を守っています。「読み取りだけ」は選べますが、「取引だけ読み取り」「取引先だけ読み取り」は選べません。読み取りを渡すと、その API で読めるものが全部読めます。

対照的に Chatwork は、入口 19 に対して札を 22 枚用意しています。自分のプロフィールだけ、タスクだけ、といった単位で分かれるので、札の方が入口より多くなります。

Zoho CRM は、トークンがスコープに書かれた操作の範囲でしか使えないと明記しています。Zoho CRM API の認証方式 原文

札が無くても、管理画面で絞れることがある

API 定義に札が無いことと、絞る手段が無いことは別です。

最後の 1 行だけ向きが逆です。jinjer は絞り方ではなく、全部使えることを書いています。

kaonavi は絞る単位を表にして公開していて、リソース 4 種と操作 4 種の組み合わせになっています。不要な操作をオフにしておくことで意図しないデータへのアクセスを防止できる、と書かれています。カオナビ API の認証方式 原文 さらに、用途に応じて複数の認証情報を使い分け、それぞれに必要最小限の権限を設定することを推奨する、とも書いています。カオナビ API の認証方式 原文

こう確かめる — 連携ツールに渡す前に

聞き方はこうなります。

「この API にスコープはありますか。あるとしたら、どの単位で分かれていますか。読み取りだけに絞ったとき、読めないものは何ですか。管理画面でエンドポイントを指定することはできますか。」

3 つ目が肝心です。「読み取りだけ」で読めるものの範囲を答えられなければ、範囲が決まっていないということです。

ここから先は調査の詳細です（約 1 分）。上のカードだけで決められます。調べた 1 件ずつの記録は IT連携マップ に、出典 URL と調査日つきで公開しています。