Область полномочий OAuth

Scope в основном отвечает на вопрос «что можно», но не гарантирует правильный целевой API и не заменяет проверку доступа к конкретному объекту.

1. 01

   Клиент выражает запрошенный доступ через scope, а сервер авторизации может выдать такой же или более узкий набор полномочий.

   Граница применимости: Обработка scope в OAuth 2.0.

2. 02

   Scope описывает требуемые полномочия, а указатель ресурса и итоговый получатель ограничивают API, для которого предназначен токен.

   Граница применимости: Область полномочий OAuth и целевой ресурс.

1. Запрашивайте минимум.
2. Сверяйте фактически выданный scope.
3. Отдельно проверяйте целевой ресурс.

• Первичная спецификация

  The OAuth 2.0 Authorization Framework

  Internet Engineering Task Force · RFC 6749, October 2012

  Определяет роли OAuth, authorization grants, access и refresh tokens, client types и основные grant flows.

  Открыть первоисточник ↗
• Первичная спецификация

  Resource Indicators for OAuth 2.0

  Internet Engineering Task Force · RFC 8707, February 2020

  Вводит resource parameter для target API и audience-restricted access tokens: scope отвечает что, resource — где.

  Открыть первоисточник ↗