0Pricing
OAuth2 & OpenID Connect Deep Dive · Урок

Запросы авторизации через защищённый канал (PAR)

Узнайте, как Pushed Authorization Requests (RFC 9126) передают параметры авторизации через защищённый внутренний вызов, повышая целостность и конфиденциальность современных развёртываний OAuth2.

«Запросы авторизации через защищённый канал (PAR)» — бесплатный урок OAuth2 & OpenID Connect Deep Dive на CoddyKit. Это урок 4 из 4. Ты можешь прочитать весь урок бесплатно ниже — а потом практиковать его прямо в браузере с встроенным редактором кода и ИИ-репетитором 24/7. Это часть пути обучения OAuth2 & OpenID Connect Deep Dive, и твой прогресс синхронизируется между веб-версией и приложением CoddyKit. Курс OAuth2 & OpenID Connect Deep Dive содержит 4 уроков всего.

Части этого урока еще не переведены и отображаются на английском.

The Front-Channel Problem

Normally authorization parameters travel in the browser URL to /authorize. They are visible, can be tampered with, and get long when requests are rich (claims, multiple resources). PAR moves them to a trusted back-channel.

What PAR Does

With Pushed Authorization Requests (RFC 9126), the client first POSTs all authorization parameters directly to a new pushed_authorization_request endpoint. The server stores them and returns a request_uri handle.

Step 1: Push the Request

The client authenticates and sends the parameters server-to-server.

POST /par HTTP/1.1
Host: op.example.com
Content-Type: application/x-www-form-urlencoded
Authorization: Basic <client creds>

response_type=code&client_id=app123
&scope=openid profile&redirect_uri=https://app/cb
&state=xyz&code_challenge=...&code_challenge_method=S256

Step 2: Receive request_uri

The server validates and stores the request, returning a one-time request_uri plus an expiry.

{
  "request_uri": "urn:ietf:params:oauth:request_uri:6esc_11ACC5bwc014ltc14",
  "expires_in": 60
}

Step 3: Redirect With the Handle

Now the browser redirect to /authorize carries only the client_id and the request_uri — nothing sensitive in the URL.

GET /authorize?client_id=app123
  &request_uri=urn:ietf:params:oauth:request_uri:6esc_11ACC5bwc014ltc14

Integrity and Confidentiality

Because parameters were pushed over an authenticated TLS channel, the user-agent cannot tamper with them, and they are not exposed in browser history, logs, or referrer headers. This raises assurance significantly.

Client Authentication at PAR

The PAR endpoint requires the client to authenticate (secret, mTLS, or private_key_jwt). This means the authorization request itself is tied to a verified client before the user ever sees the consent screen.

Short-Lived, One-Time Handles

The request_uri is short-lived (often 60 seconds) and intended for single use. After the authorization request consumes it, it cannot be replayed.

PAR and FAPI

PAR is a building block of FAPI 2.0 and financial-grade security profiles, where front-channel tampering must be eliminated. Many high-assurance deployments mandate PAR for all authorization requests.

Discovery Support

Providers advertise PAR via discovery metadata, including pushed_authorization_request_endpoint and optionally require_pushed_authorization_requests to enforce it.

{
  "pushed_authorization_request_endpoint": "https://op.example.com/par",
  "require_pushed_authorization_requests": true
}

When to Use PAR

Adopt PAR for confidential clients in regulated or high-value contexts, when requests carry sensitive parameters, or when you want to guarantee request integrity. It pairs naturally with PKCE and mTLS-bound tokens.

Quick Check

Test your PAR knowledge.

Recap

Pushed Authorization Requests (RFC 9126) move authorization parameters to a back-channel.

  • The client POSTs parameters to the PAR endpoint and gets a request_uri.
  • The browser redirect carries only client_id + request_uri.
  • This guarantees request integrity/confidentiality and authenticates the client up front.
  • PAR is a cornerstone of FAPI-grade security.

Часто задаваемые вопросы

Урок «Запросы авторизации через защищённый канал (PAR)» бесплатный?

Да — полный текст урока «Запросы авторизации через защищённый канал (PAR)» бесплатно доступен здесь в веб-версии. Чтобы практиковать его интерактивно (встроенный редактор кода и ИИ-репетитор 24/7) и разблокировать остальной курс OAuth2 & OpenID Connect Deep Dive, подпишись на CoddyKit PRO. Курс OAuth2 & OpenID Connect Deep Dive содержит 4 уроков всего.

Чему я научусь в уроке «Запросы авторизации через защищённый канал (PAR)»?

Узнайте, как Pushed Authorization Requests (RFC 9126) передают параметры авторизации через защищённый внутренний вызов, повышая целостность и конфиденциальность современных развёртываний OAuth2. Ты практикуешь OAuth2 & OpenID Connect Deep Dive с помощью реального кода, который запускаешь прямо в браузере, и ИИ-репетитор 24/7 отвечает на твои вопросы во время урока.

Нужен ли мне опыт, чтобы начать OAuth2 & OpenID Connect Deep Dive?

Предыдущий опыт не требуется. OAuth2 & OpenID Connect Deep Dive на CoddyKit структурирован для всех уровней — от новичков до продвинутых, поэтому ты можешь начать отсюда или с самого начала и учиться в своем темпе. Это урок 4 из 4.

Сколько времени занимает урок «Запросы авторизации через защищённый канал (PAR)»?

Большинство уроков CoddyKit занимают около 5–10 минут. Каждый из них компактный и интерактивный, поэтому ты постоянно делаешь прогресс и продолжаешь с того же места в веб-версии и приложении.

Можно ли писать и запускать код в этом уроке OAuth2 & OpenID Connect Deep Dive?

Да. Каждый урок OAuth2 & OpenID Connect Deep Dive включает встроенный редактор кода, поэтому ты пишешь и запускаешь реальный код прямо в браузере и получаешь моментальную обратную связь от AI — локальная установка не требуется.

Все уроки этого курса

  1. FAPI и API финансового уровня
  2. DPoP (доказательство владения)
  3. Протокол непрерывной оценки доступа (CAEP)
  4. Запросы авторизации через защищённый канал (PAR)
← Назад к OAuth2 & OpenID Connect Deep Dive