Almindelige OAuth2 grant-typer

Bevilling med autorisationskode er den mest almindelige og anbefalede bevillingstype for fortrolige klienter, især traditionelle webapplikationer med en backend.

Den betragtes som den sikreste, fordi adgangstokenet aldrig eksponeres direkte i brugerens browser.

Sådan begynder flowet med autorisationskode typisk:

1. Brugeren klikker på 'Login with X' i din app.
2. Din app omdirigerer brugerens browser til autorisationsserveren (f.eks. Google eller GitHub).
3. Brugeren logger ind og giver din app tilladelse.
4. Autorisationsserveren omdirigerer derefter brugerens browser tilbage til din app med en midlertidig autorisationskode.

Efter modtagelse af autorisationskoden:

5. Din apps backend modtager autorisationskoden.
6. Den udveksler derefter koden sikkert (sammen med dens eget klient-id og klienthemmelighed) direkte med autorisationsserverens tokenendepunkt. Dette er kommunikation fra server til server.
7. Autorisationsserveren validerer koden og klientoplysningerne og udsteder derefter et adgangstoken (og ofte et fornyelsestoken).

Bevilling med klientoplysninger bruges til maskine-til-maskine-kommunikation, hvor der ikke er nogen slutbruger involveret.

Klienten (din applikation eller tjeneste) handler på egne vegne og godkender sig selv direkte over for autorisationsserveren for at få et adgangstoken.

Flowet for klientoplysninger er enklere:

1. Din klientapplikation (f.eks. en baggrundstjeneste) sender sit klient-id og sin klienthemmelighed direkte til autorisationsserverens tokenendepunkt.
2. Autorisationsserveren bekræfter disse oplysninger.
3. Hvis de er gyldige, udsteder autorisationsserveren direkte et adgangstoken til din klient.

Der kræves ingen brugerhandling eller omdirigeringer i browseren.

Forestil dig en backend-tjeneste, der skal forespørge en ekstern API for at hente data. Den har ikke brug for, at en bruger logger ind; den skal blot have adgang som "sig selv".

Den kan bruge flowet med klientoplysninger til at hente et adgangstoken:

Bevilling med enhedskode er designet til enheder med begrænsede inputmuligheder, f.eks. smart-tv'er, IoT-enheder eller kommandolinjeværktøjer, som ikke nemt kan være vært for en webbrowser eller modtage omdirigeringer.

Den adskiller autorisationsprocessen, så brugeren kan godkende enheden på en separat og mere avanceret enhed (f.eks. en smartphone eller computer).

Her er et forenklet flow med enhedskode:

1. Enheden anmoder om en enhedskode og en URI til brugerverifikation fra autorisationsserveren.
2. Enheden viser URI'en og en kort kode til brugeren.
3. Brugeren går til URI'en på sin telefon eller pc, logger ind og indtaster koden for at give adgang.
4. Imens foretager enheden gentagne forespørgsler til autorisationsserveren, indtil autorisationen er bekræftet, hvorefter den modtager adgangstokenet.

Vi har gennemgået de vigtigste OAuth2-bevillingstyper: Authorization Code til sikre webapplikationer med brugerindblanding, Client Credentials til kommunikation fra server til server og Device Code til enheder med begrænsede inputmuligheder.

Hver bevillingstype imødekommer bestemte sikkerheds- og brugervenlighedsbehov og sikrer sikre autorisationsflows til forskellige applikationsscenarier.