Непрозрачный токен
Определение
Непрозрачный токен — строка, по которой клиент ничего не может узнать: её формат и смысл известны только выдавшей стороне. Свойства и текущее состояние такого токена ресурсный сервер может запросить через интроспекцию.
Также ищут: Opaque token · ссылочный токен · непрозрачный токен доступа
Зачем это знать
Он скрывает утверждения от клиента и упрощает изменение состояния на сервере, но обычно добавляет поиск в хранилище или зависимость от интроспекции.
Карта понятия
Сравнить
Что подтверждено
OAuth допускает непрозрачный идентификатор: токен доступа остаётся непонятной клиенту строкой, а разрешение хранится в серверном контексте.
Граница применимости: Форматы токена доступа OAuth 2.0.
Ресурсный сервер может передать непрозрачный токен точке интроспекции и получить текущее состояние и свойства без разбора самого токена.
Граница применимости: Интроспекция непрозрачных токенов OAuth.
Что проверить
- Не разбирайте токен в клиенте.
- Защитите поиск и интроспекцию.
- Задайте допустимую свежесть кэша.
Первоисточники
- The OAuth 2.0 Authorization Framework
Определяет роли OAuth, authorization grants, access и refresh tokens, client types и основные grant flows.
Утверждения: 01
- OAuth 2.0 Token Introspection
Определяет защищённый запрос текущего active state и metadata OAuth token; описывает trade-off caching и liveness.
Утверждения: 02