Authorization Code Flow

OAuth2 की चार प्रमुख भूमिकाओं को याद कीजिए:

• संसाधन स्वामी: पहुँच देने वाला उपयोगकर्ता।
• क्लाइंट: पहुँच का अनुरोध करने वाला आपका ऐप्लिकेशन।
• प्राधिकरण सर्वर: पहचान का सत्यापन करता है और टोकन जारी करता है।
• संसाधन सर्वर: सुरक्षित डेटा रखता है।

इस प्रवाह में ये एक विशिष्ट, कई चरणों वाली प्रक्रिया के अनुसार परस्पर क्रिया करते हैं।

यह सब तब शुरू होता है जब संसाधन स्वामी (उपयोगकर्ता) आपके क्लाइंट ऐप्लिकेशन में लॉग इन करना या उसे पहुँच देना चाहता है।

आपका ऐप्लिकेशन उपयोगकर्ता के ब्राउज़र को प्राधिकरण सर्वर के प्राधिकरण एंडपॉइंट पर भेजता है और इसमें कई पैरामीटर शामिल करता है:

• response_type=code (अत्यंत महत्वपूर्ण!)
• client_id (आपके ऐप की ID)
• redirect_uri (उपयोगकर्ता को वापस कहाँ भेजना है)
• scope (अनुरोधित अनुमतियाँ)
• state (सुरक्षा के लिए, जिसकी व्याख्या बाद में की जाएगी)

प्राधिकरण सर्वर पर भेजे जाने के बाद, उपयोगकर्ता को सहमति स्क्रीन दिखाई देती है।

यह स्क्रीन उपयोगकर्ता से पूछती है कि क्या वह आपके क्लाइंट ऐप्लिकेशन को अनुरोधित अनुमतियाँ देने के लिए सहमत है (जिन्हें scope द्वारा परिभाषित किया गया है)।

इसके बाद उपयोगकर्ता अनुरोध को स्वीकृत या अस्वीकृत कर सकता है।

यदि उपयोगकर्ता स्वीकृति देता है, तो प्राधिकरण सर्वर उपयोगकर्ता के ब्राउज़र को चरण 1 में दिए गए redirect_uri पर वापस भेजता है।

इस रीडायरेक्ट URL में अब एक बार उपयोग होने वाला प्राधिकरण कोड और आपके द्वारा भेजा गया state पैरामीटर शामिल होता है, उदाहरण के लिए:

यह कोड थोड़े समय के लिए मान्य होता है और संसाधनों तक सीधे पहुँच नहीं देता।

यहीं असली काम होता है! आपके क्लाइंट ऐप्लिकेशन का बैकएंड (सर्वर-पक्ष) प्राधिकरण कोड प्राप्त करता है।

इसके बाद वह प्राधिकरण सर्वर के टोकन एंडपॉइंट को सीधा, बैक-चैनल HTTP POST अनुरोध भेजता है।

इस अनुरोध में code, redirect_uri, client_id और आपके ऐप्लिकेशन की पहचान सत्यापित करने के लिए महत्वपूर्ण client_secret शामिल होते हैं।

प्राधिकरण सर्वर अनुरोध का सत्यापन करता है, विशेष रूप से client_secret और code का।

यदि सब कुछ मान्य है, तो यह आपके क्लाइंट ऐप्लिकेशन के बैकएंड को एक पहुँच टोकन और वैकल्पिक रूप से एक रिफ़्रेश टोकन जारी करता है।

अब आपका ऐप्लिकेशन उपयोगकर्ता की ओर से संसाधन सर्वर को अनुरोध भेजने के लिए पहुँच टोकन का उपयोग कर सकता है।

state पैरामीटर क्रॉस-साइट अनुरोध जालसाजी (CSRF) हमलों से बचाने वाला एक महत्वपूर्ण सुरक्षा उपाय है।

आपके क्लाइंट को प्रत्येक प्राधिकरण अनुरोध के लिए एक अद्वितीय, क्रिप्टोग्राफ़िक रूप से यादृच्छिक स्ट्रिंग बनानी चाहिए और उसे state पैरामीटर के रूप में शामिल करना चाहिए।

जब प्राधिकरण सर्वर वापस भेजता है, तो वह यही state शामिल करता है। आपके क्लाइंट को यह सत्यापित करना होगा कि लौटाया गया state उसके भेजे गए state से मेल खाता है, ताकि यह सुनिश्चित हो सके कि कॉलबैक वास्तविक है।

प्राधिकरण कोड प्रवाह इनके लिए सबसे उपयुक्त है:

• गोपनीय क्लाइंट: विशेष रूप से वेब सर्वर ऐप्लिकेशन।
• बैकएंड वाले क्लाइंट: जहाँ client_secret को सुरक्षित रूप से संग्रहीत और उपयोग किया जा सकता है।
• PKCE वाले सार्वजनिक क्लाइंट: (बाद के पाठ में बताया जाएगा) मोबाइल ऐप और SPA बेहतर सुरक्षा के लिए PKCE नामक विस्तार के साथ इसका उपयोग कर सकते हैं।

जब सुरक्षा सर्वोच्च प्राथमिकता हो, तब यह सबसे मजबूत विकल्प है।

आपने प्राधिकरण कोड प्रवाह में निपुणता प्राप्त कर ली है!

• यह सबसे सुरक्षित OAuth2 प्रवाह है।
• यह गोपनीय क्लाइंटों (सर्वर-पक्षीय ऐप) के लिए आदर्श है।
• यह टोकन से विनिमय करने के लिए एक अस्थायी प्राधिकरण कोड का उपयोग करता है।
• टोकन का विनिमय सुरक्षित रूप से बैक-चैनल (सर्वर-से-सर्वर) के माध्यम से होता है।
• state पैरामीटर CSRF से सुरक्षा देता है।

यह प्रवाह कई सुरक्षित प्रमाणीकरण और प्राधिकरण प्रणालियों की नींव है।