Membatasi Cakupan Kemampuan Token

Token yang valid seharusnya tidak membuka akses ke semuanya. Cakupan memungkinkan token hanya membawa izin tertentu yang benar-benar dibutuhkan pemegangnya. 🎯

Cakupan adalah izin bernama, seperti membaca atau menulis. Token diterbitkan bersama sekumpulan cakupan yang menjelaskan tindakan yang boleh dilakukannya.

Ikuti prinsip hak istimewa minimum: berikan sekumpulan cakupan terkecil yang dapat menyelesaikan tugas, tanpa tambahan apa pun.

Saat OAuth menerbitkan token, cakupan yang diberikan dicatat bersamanya. Server dapat membacanya untuk menentukan tindakan yang diizinkan.

Sebelum menjalankan alat yang sensitif, pastikan token mencakup cakupan yang diperlukan. Jika tidak ada, tolak panggilan tersebut.

Pisahkan cakupan baca dari cakupan tulis agar token yang hanya dimaksudkan untuk melihat data tidak dapat diam-diam mengubahnya.

Anda dapat mengatur cakupan akses untuk setiap alat, dengan membuka kalkulator yang aman bagi semua orang sekaligus melindungi alat penghapusan dengan cakupan yang lebih ketat.

Cakupan dapat membatasi sumber daya yang dapat dilihat token, seperti satu folder proyek, bukan setiap berkas yang dapat dijangkau server.

Permintaan dengan token valid tetapi cakupan yang salah telah diautentikasi, namun tidak diizinkan. Jadi, jawaban yang tepat adalah 403 Dilarang.

Simpan catatan tentang token mana yang memiliki cakupan mana. Jejak audit memperjelas siapa yang dapat melakukan apa jika terjadi masalah.

Tinjau cakupan secara berkala dan cabut yang tidak lagi diperlukan. Penyempitan izin secara bertahap memperkecil permukaan serangan Anda.

Cakupan mengubah satu token menjadi kunci yang tepat sasaran. Berikan hak minimum yang diperlukan, periksa setiap alat, dan jawab 403 jika cakupan tidak ada. 🗝️