Roblox OAuth คืออะไร ทำไม RobuxTH ไม่ขอรหัสผ่าน
อธิบาย Roblox OAuth, Scope, Redirect, PKCE, Session และเหตุผลที่เว็บ Community ไม่ควรรับ Password Roblox โดยตรง
OAuth คือการอนุญาตสิทธิ์ ไม่ใช่ส่ง Password ให้เว็บปลายทาง
ผู้ใช้ยืนยันตัวตนกับ Roblox แล้วระบบส่งผลการอนุญาตกลับตาม Redirect URI เว็บไซต์จึงไม่จำเป็นต้องรับ Password Roblox โดยตรง
Scope คืออะไร
Scope คือขอบเขตข้อมูลหรือสิทธิ์ที่ App ขอ ผู้ใช้ควรอ่านสิทธิ์ก่อนยืนยันและควรเห็นว่าสิทธิ์นั้นสัมพันธ์กับฟังก์ชันของเว็บไซต์
Redirect URI สำคัญอย่างไร
Redirect URI กำหนดปลายทางหลังอนุญาต OAuth และควรตั้งให้ตรงกับโดเมนจริงของ RobuxTH เพื่อไม่ให้ผล Login ถูกส่งไปยังปลายทางที่ไม่เกี่ยวข้อง
PKCE และ state ช่วยลดความเสี่ยงอย่างไร
PKCE ช่วยผูก Authorization Code กับคำขอที่เริ่มจาก Client เดิม ส่วน state ช่วยตรวจว่าคำตอบ OAuth สัมพันธ์กับ Session ที่เริ่ม Login จริง
RobuxTH ควรเก็บอะไรหลัง Login
เก็บเฉพาะข้อมูลที่จำเป็นต่อ Community เช่น User ID, Username, Display Name และ Session ของ RobuxTH ไม่ควรเปิดเผย Access Token ใน HTML, JavaScript, URL หรือ Log ที่บุคคลอื่นอ่านได้
Session ของ RobuxTH ไม่ใช่ Password Roblox
Session Cookie ใช้จำสถานะสมาชิกบน RobuxTH และควรใช้ Secure/HttpOnly รวมถึง CSRF Protection และ Rate Limit เพื่อช่วยลดความเสี่ยงจากการขโมย Session
OAuth ช่วยหน้าหาเพื่อนอย่างไร
เมื่อสมาชิก Login แล้ว หน้าหาเพื่อนเล่น Roblox สามารถแสดงชื่อและ Avatar จากบัญชี Roblox จริงแทนการสร้างผู้ใช้ตัวอย่าง ทำให้ห้องแชทมีตัวตนชัดขึ้น
ถ้าไม่แน่ใจให้เริ่ม Login ใหม่
ปิดหน้าที่สงสัยแล้วเริ่มใหม่จากเมนู RobuxTH หรือ Roblox Official หากเป็นปัญหาบัญชีให้ใช้ Roblox Support แทนการส่ง Password ให้คนในแชท
ทำไม Client Secret ต้องอยู่ฝั่ง Server
Client Secret เป็นข้อมูลของ OAuth Application ไม่ควรฝังใน JavaScript หรือ HTML ที่ Browser ดาวน์โหลดได้ การแลก Authorization Code และงานที่ต้องใช้ Secret จึงควรเกิดฝั่ง Server เท่านั้น เพื่อไม่ให้ผู้เยี่ยมชมดึงค่าไปใช้เป็น App โดยไม่ได้รับอนุญาต
Logout ช่วยตัด Session ของ RobuxTH
เมื่อใช้เครื่องสาธารณะหรือเครื่องที่แชร์กับคนอื่นควร Logout หลังใช้งาน การ Logout ของ RobuxTH มีหน้าที่จบ Session เว็บไซต์ ส่วนการจัดการ Session ของ Roblox เองควรทำผ่านเครื่องมือบัญชีของ Roblox เมื่อจำเป็น
OAuth ไม่ได้ทำให้ทุกลิงก์ปลอดภัยโดยอัตโนมัติ
แม้ RobuxTH ใช้ OAuth ผู้ใช้ยังต้องระวัง Phishing เพราะผู้โจมตีสามารถทำหน้าปลอมให้ดูคล้าย OAuth ได้ ควรเริ่ม Login จากหน้าเว็บที่รู้จักและตรวจโดเมนทุกครั้ง หากต้องการคุยหรือหาเพื่อนหลัง Login ให้กลับไป หาเพื่อนเล่น Roblox แทนการใช้ลิงก์ที่คนอื่นส่งมา