CyberGlossary

Идентификация и доступ

OAuth 2.0

Также известно как: OAuth2

Определение

Открытый фреймворк авторизации, позволяющий владельцу ресурса предоставлять стороннему приложению ограниченный и регулируемый доступ к API без передачи учётных данных.

OAuth 2.0 разделяет роли: владелец ресурса (пользователь), клиент (приложение), сервер авторизации (выдаёт токены) и сервер ресурсов (предоставляет API). Клиент получает access token по выбранному потоку — authorization code с PKCE для интерактивных приложений, client credentials для вызовов между сервисами, device code для устройств без ввода — и затем вызывает API, передавая токен обычно как bearer. Области (scopes) и audience ограничивают возможности токена. OAuth 2.0 — основа OpenID Connect, доступа к облачным API и кнопок «Войти через…». Типичные ошибки — использование implicit grant, отсутствие PKCE, слабая проверка redirect URI и небезопасное хранение токенов на клиенте.

Примеры

  • Мобильное приложение получает access token по authorization code + PKCE и вызывает банковский API.
  • Бэкенд-сервис использует client credentials, чтобы публиковать события во внешнем API.

Связанные термины