OAuth 2.0 расшифровывается как Open Authorization 2.0
Это фреймворк авторизации, а не протокол аутентификации.
Назначение —> позволяет сторонним приложениям получать доступ к пользовательским ресурсам без раскрытия пользовательских учетных данных.
Ключевые роли в OAuth 2.0
— Владелец ресурса - пользователь, владеющий защищёнными ресурсами
— Клиент - приложение, запрашивающее доступ к защищённым ресурсам
— Сервер ресурсов - сервер, на котором хранятся защищённые ресурсы
— Сервер авторизации - сервер, выдающий токены доступа после согласия пользователя
Стандартный поток OAuth (Authorization Code Flow)
1. Клиент перенаправляет пользователя на сервер авторизации
2. Пользователь проходит аутентификацию и предоставляет разрешения
3. Сервер авторизации возвращает клиенту код авторизации
4. Клиент обменивает код на токен доступа
5. Клиент использует токен доступа для обращения к защищённым ресурсам
Лучшие практики реализации
⏩Корректная реализация OAuth 2.0 требует внимания к деталям безопасности
⏩Команды разработки часто используют инструменты ревью кода, чтобы на раннем этапе выявить проблемы
⏩Инструменты вроде
@coderabbitai могут помочь обнаружить типовые ошибки при реализации OAuth во время ревью⏩При работе с протоколами авторизации стоит рассмотреть использование анализа кода с фокусом на безопасность
👉 Java Portal