Доступ к API без путаницы: OAuth, OpenID Connect и токены

Клиент OAuth просит ограниченный доступ, сервер авторизации выдаёт токен, а ресурсный сервер защищает API. Роли клиента и владельца ресурса различаются, но одна сторона может исполнять обе.

Основание для авторизации позволяет выпустить токен. При выдаче по коду браузер возвращает короткий код авторизации, который клиент отдельно обменивает на сервере авторизации.

Redirect URI сверяют точно, а PKCE связывает код авторизации с проверочным значением конкретного экземпляра клиента. PKCE не подтверждает личность пользователя и не исправляет открытое перенаправление.

Публичный клиент не способен надёжно хранить общий секрет; конфиденциальный клиент может подтвердить свою подлинность. Выдача по учётным данным клиента представляет службу, а не конечного пользователя.

Токен доступа предъявляют ресурсному серверу, а токен обновления — только серверу авторизации для получения нового токена доступа. Ни один из них не равен исходному основанию для выдачи доступа.

Токен на предъявителя может использовать любой, кто им завладел. Поэтому его защищают как секрет и не помещают в URL или журналы.

Токен с подтверждением владения требует связанный ключ. DPoP добавляет подписанное подтверждение к HTTP-запросу, а OAuth mTLS связывает токен с сертификатом клиента.

Токен обновления публичного клиента защищают ротацией или привязкой к отправителю. Ни короткий срок действия, ни mTLS не исправляют чрезмерные полномочия.

Параметр scope описывает запрошенные действия, указатель ресурса выбирает целевой API, а поле audience позволяет ресурсному серверу отвергнуть токен для другого получателя.

Непрозрачный токен не разбирают на стороне клиента; ресурсный сервер может узнать его текущее состояние через защищённую точку интроспекции.

Отзыв досрочно прекращает действие токена или связанного разрешения, но охват отзыва и скорость его применения зависят от правил сервера и кэшей.

JWT — формат утверждений. OpenID Connect добавляет вход пользователя поверх OAuth, а ID Token предназначен клиенту; API нужен токен доступа с подходящим профилем.

Ключ API часто идентифицирует вызывающее приложение и действует как секрет, но не заменяет личность пользователя или проверку доступа к конкретному объекту.

Ограничение частоты сдерживает число запросов за короткий интервал и защищает вычислительные ресурсы. Оно не выдаёт полномочий и отличается от долгосрочной квоты.

Ресурсный сервер проверяет все условия применения токена и сохраняет результаты разрешённых и отклонённых запросов, а не только итоговый код HTTP.

Аудит связывает клиента, субъект, конечную точку, принятое решение, результат и идентификатор запроса, но не копирует сам токен на предъявителя или ключ API.