traQのAPIアクセスにサーバー設定のAccessTokenを使う

[ras0q]

ユーザーのトークンを使ってtraQから都度情報を取得するのではなく、サーバーで1つトークンを持ちそれを使って情報を取得するようにしました

[iChemy]

質問なのですが，

これ，今までユーザー単位でアクセストークンをデータベースに保持して置いて
traQのリソースにアクセスしたいときにそのデータベースに保存されていたアクセストークンを用いて
それを実現していたのを

新しく knoQ サーバーに環境変数を通してサーバー専用のアクセストークンを持たせて，
ユーザー単位でのアクセストークンのかわりに，
そのアクセストークンを用いて traQのリソースにアクセスできるようにしてるんですよね?

その場合，knoQ サーバーが持つアクセストークンってどうやって発行するかとかよくわかってないです．
あと，knoQ サーバーが持つアクセストークンの有効期限が切れたとき毎回環境変数を設定しなきゃいけないと思うんですがその間サービスがうまく機能しなくなったりしませんか?

[ras0q]

現状はBotのAccessTokenが無期限なのでそれを使う方法やtraQのoauth2_tokensテーブルに直接トークンを作成してもらう方法があります
traPtitech/traQ#2403 がマージされるとClient Credential Flow(特定のユーザーに紐づかない形で認証する、knoQでこれまで使っていたのはAuthorization Code Flow)が使えるようになるのでそれでいい感じにできると思います(多分refresh tokenを使ったりするんですがここら辺はあまり詳しくない)

[iChemy]

こういうときってアクセストークンが流出した場合は...
とかって考えた方がいいんですか? (そもそもそんなことが起こるのかとかわからないけど)

[ras0q]

0%とは言いきれないんですが現状でもユーザーのトークンで好き放題できる(なんならユーザーに紐づいてるので個人情報まで取れる可能性もある)ので、流出したときはそのときでユーザーのトークンを止めるかシステムのトークンを止めるかの違いだと思って大丈夫です

[iChemy]

確認しました

ちなみにこれ merge したら staging の方の環境変数を設定しないといけない感じですよね?

[ras0q]

/srv/knoq/.envに既に置いてあるのでマージして検証しますね