Отзыв прекращает действие, интроспекция возвращает наблюдаемое состояние. Срок кэша определяет возможное отставание наблюдения.
Приложения и доступ к API
Отзыв токена
Определение
Отзыв токена — прекращение действия токена доступа или обновления раньше истечения его срока, по запросу к серверу авторизации. Отзыв может затронуть и другие токены, выданные по тому же основанию, — точный охват задаёт сам сервер.
Также ищут: Token revocation · отзыв токена OAuth · досрочное прекращение токена
Зачем это знать
Удаление местной копии и серверный отзыв — разные операции. Для прекращения доступа надо понимать охват отзыва и время его наблюдения ресурсными серверами.
Связи из словаря
Карта понятия
Отзыв токена
Доказательная часть
Что подтверждено
Конечная точка отзыва OAuth принимает токен по HTTPS; реализация обязана поддерживать отзыв токенов обновления и должна поддерживать токены доступа.
Граница применимости: Конечная точка отзыва по RFC 7009.
Отзыв может затронуть другие токены, выпущенные по тому же основанию, но точный охват зависит от сервера авторизации и типа токена.
Граница применимости: Отзыв токенов и связанного разрешения OAuth.
По RFC 7009 точка отзыва отвечает успешным статусом и для корректно отозванного, и для невалидного токена. Один ответ HTTP 200 не доказывает, что переданный токен существовал или был активным.
Граница применимости: Успешный ответ точки отзыва по RFC 7009, раздел 2.2; ошибки аутентификации клиента и другие ошибки запроса рассматриваются отдельно.
Удаление токена из браузера убирает местную копию, но само не отзывает копию у другой стороны. В учебном сценарии утечки отдельно вызывают предусмотренный механизм отзыва и проверяют его фактический охват.
Граница применимости: Редакторское различение локального хранения и серверного отзыва. Завершение входа пользователя не приравнивается к отзыву всех токенов.
После принятия отзыва API с ранее сохранённым ответом интроспекции может узнать новое состояние позже. Требуемую скорость прекращения доступа сопоставляют с кэшем и способом доставки отзыва, а не только с ответом точки отзыва.
Граница применимости: Редакторское сопоставление RFC 7009 и RFC 7662. Мгновенное обновление всех API без соответствующего механизма не обещается.
Граница терминов
Не путать
Токен обновления позволяет продолжить разрешённый доступ, отзыв может прекратить его и затронуть связанные токены. Конкретный каскад нельзя угадать по названию точки отзыва.
Перед спецификацией
Что проверить
- Определите отзываемый токен и клиента.
- Используйте предусмотренную защищённую точку отзыва.
- Не выводите существование токена из HTTP 200.
- Уточните охват связанных токенов.
- Разделите удаление копии и отзыв на сервере.
- Проверьте задержку кэшей API.
- Подтвердите прекращение доступа по заданной политике.
Открытые основания
Первоисточники
- The OAuth 2.0 Authorization Framework: Bearer Token Usage
Определяет bearer-token presentation, защиту от disclosure, Authorization header и ошибки invalid_token/insufficient_scope.
Утверждения: 04
- OAuth 2.0 Token Introspection
Определяет защищённый запрос текущего active state и metadata OAuth token; описывает trade-off caching и liveness.
Утверждения: 05
- The OAuth 2.0 Authorization Framework
Определяет роли OAuth, authorization grants, access и refresh tokens, client types и основные grant flows.