Ресурсный сервер

Последнее решение принимает API: он должен отвергнуть токен другого издателя, получателя или типа, истёкший токен и токен с недостаточными полномочиями.

1. 01

   Ресурсный сервер принимает запросы к защищённым ресурсам с токеном доступа и отвечает на них.

   Граница применимости: Роль ресурсного сервера в OAuth 2.0.

2. 02

   Для токена доступа JWT ресурсный сервер проверяет не только подпись, но и поля typ, iss, aud и exp, после чего применяет правила доступа с учётом контекста запроса.

   Граница применимости: Проверка токена доступа JWT по RFC 9068.

1. Проверьте издателя и получателя.
2. Сверьте тип, срок действия и полномочия.
3. Запишите принятое решение и результат.

• Первичная спецификация

  The OAuth 2.0 Authorization Framework

  Internet Engineering Task Force · RFC 6749, October 2012

  Определяет роли OAuth, authorization grants, access и refresh tokens, client types и основные grant flows.

  Открыть первоисточник ↗
• Первичная спецификация

  JSON Web Token Profile for OAuth 2.0 Access Tokens

  Internet Engineering Task Force · RFC 9068, October 2021

  Профилирует JWT access token: at+jwt type, required iss/exp/aud и resource-server validation, отличая его от ID Token.

  Открыть первоисточник ↗
• Первичная спецификация

  OpenID Connect Core 1.0 incorporating errata set 2

  OpenID Foundation · OpenID Connect Core 1.0, Final

  Определяет identity layer поверх OAuth 2.0, openid scope, ID Token и правила его validation.

  Открыть первоисточник ↗