OAuth 2.0
Что такое OAuth 2.0?
OAuth 2.0Открытый фреймворк авторизации, позволяющий владельцу ресурса предоставлять стороннему приложению ограниченный и регулируемый доступ к API без передачи учётных данных.
OAuth 2.0 разделяет роли: владелец ресурса (пользователь), клиент (приложение), сервер авторизации (выдаёт токены) и сервер ресурсов (предоставляет API). Клиент получает access token по выбранному потоку — authorization code с PKCE для интерактивных приложений, client credentials для вызовов между сервисами, device code для устройств без ввода — и затем вызывает API, передавая токен обычно как bearer. Области (scopes) и audience ограничивают возможности токена. OAuth 2.0 — основа OpenID Connect, доступа к облачным API и кнопок «Войти через…». Типичные ошибки — использование implicit grant, отсутствие PKCE, слабая проверка redirect URI и небезопасное хранение токенов на клиенте.
● Примеры
- 01
Мобильное приложение получает access token по authorization code + PKCE и вызывает банковский API.
- 02
Бэкенд-сервис использует client credentials, чтобы публиковать события во внешнем API.
● Частые вопросы
Что такое OAuth 2.0?
Открытый фреймворк авторизации, позволяющий владельцу ресурса предоставлять стороннему приложению ограниченный и регулируемый доступ к API без передачи учётных данных. Относится к категории Идентификация и доступ в кибербезопасности.
Что означает OAuth 2.0?
Открытый фреймворк авторизации, позволяющий владельцу ресурса предоставлять стороннему приложению ограниченный и регулируемый доступ к API без передачи учётных данных.
Как защититься от OAuth 2.0?
Защита от OAuth 2.0 обычно сочетает технические меры и операционные практики, как описано в определении выше.
Какие есть другие названия OAuth 2.0?
Распространённые альтернативные названия: OAuth2.