0Pricing
Spring Security 6 & JWT Authentication · Урок

Распространённые типы разрешений OAuth2

Изучите различные типы разрешений, например код авторизации и учётные данные клиента, а также подходящие случаи их применения.

«Распространённые типы разрешений OAuth2» — бесплатный урок Spring Security 6 & JWT Authentication на CoddyKit. Это урок 3 из 4. Ты можешь прочитать весь урок бесплатно ниже — а потом практиковать его прямо в браузере с встроенным редактором кода и ИИ-репетитором 24/7. Это часть пути обучения Spring Security 6 & JWT Authentication, и твой прогресс синхронизируется между веб-версией и приложением CoddyKit. Курс Spring Security 6 & JWT Authentication содержит 4 уроков всего.

Части этого урока еще не переведены и отображаются на английском.

What are OAuth2 Grant Types?

Welcome! In OAuth2, a Grant Type (or 'Authorization Grant') is a method an application uses to get an access token from an authorization server.

Think of it as the specific procedure or negotiation protocol for obtaining permission to access protected resources.

Why Different Grant Types?

You might wonder why there isn't just one way to get a token. Different applications have different security needs and capabilities:

  • Web applications with a backend
  • Single-page applications (SPAs) in a browser
  • Mobile applications
  • Command-line tools
  • Server-to-server communication

Each scenario requires a tailored, secure approach.

Authorization Code Grant

The Authorization Code Grant is the most common and recommended grant type for confidential clients, especially traditional web applications with a backend.

It's considered the most secure because the access token is never exposed directly in the user's browser.

Auth Code Flow: User Authorization

Here's how the Authorization Code flow typically starts:

  1. The user clicks 'Login with X' on your app.
  2. Your app redirects the user's browser to the Authorization Server (e.g., Google, GitHub).
  3. The user logs in and grants permission to your app.
  4. The Authorization Server then redirects the user's browser back to your app with a temporary authorization code.

Auth Code Flow: Token Exchange

After receiving the authorization code:

  1. Your app's backend receives the authorization code.
  2. It then securely exchanges this code (along with its own client ID and client secret) directly with the Authorization Server's token endpoint. This is a server-to-server communication.
  3. The Authorization Server validates the code and client credentials, then issues an access token (and often a refresh token).

Client Credentials Grant

The Client Credentials Grant is used for machine-to-machine communication where there is no end-user involved.

The client (your application or service) acts on its own behalf, authenticating itself directly to the Authorization Server to get an access token.

Client Credentials Flow

The flow for Client Credentials is simpler:

  1. Your client application (e.g., a background service) sends its client ID and client secret directly to the Authorization Server's token endpoint.
  2. The Authorization Server verifies these credentials.
  3. If valid, the Authorization Server directly issues an access token to your client.

No user interaction or browser redirects are needed.

Client Credentials in Action

Imagine a backend service that needs to query an external API to fetch data. It doesn't need a user to log in; it just needs access as 'itself'.

It would use the Client Credentials flow to get an access token:

curl -X POST -u "my-client-id:my-client-secret" \ "https://auth.example.com/oauth/token" \ -d "grant_type=client_credentials"

Device Code Grant

The Device Code Grant is designed for input-constrained devices like smart TVs, IoT devices, or command-line tools that cannot easily host a web browser or accept redirects.

It separates the authorization process, allowing the user to authorize the device on a separate, more capable device (like a smartphone or computer).

Device Code Flow

Here's a simplified Device Code flow:

  1. The device requests a device code and a user verification URI from the Authorization Server.
  2. The device displays the URI and a short code to the user.
  3. The user goes to the URI on their phone/PC, logs in, and enters the code to grant access.
  4. Meanwhile, the device repeatedly polls the Authorization Server until authorization is confirmed, then it receives the access token.

Grant Type Challenge

Based on what you've learned, which OAuth2 grant type is most suitable for a backend service that needs to access another API without any user interaction?

Recap: Grant Types in Focus

We've explored key OAuth2 grant types: Authorization Code for secure web applications with user interaction, Client Credentials for server-to-server communication, and Device Code for input-constrained devices.

Each grant type addresses specific security and usability needs, ensuring secure authorization flows for different application scenarios.

Часто задаваемые вопросы

Урок «Распространённые типы разрешений OAuth2» бесплатный?

Да — полный текст урока «Распространённые типы разрешений OAuth2» бесплатно доступен здесь в веб-версии. Чтобы практиковать его интерактивно (встроенный редактор кода и ИИ-репетитор 24/7) и разблокировать остальной курс Spring Security 6 & JWT Authentication, подпишись на CoddyKit PRO. Курс Spring Security 6 & JWT Authentication содержит 4 уроков всего.

Чему я научусь в уроке «Распространённые типы разрешений OAuth2»?

Изучите различные типы разрешений, например код авторизации и учётные данные клиента, а также подходящие случаи их применения. Ты практикуешь Spring Security 6 & JWT Authentication с помощью реального кода, который запускаешь прямо в браузере, и ИИ-репетитор 24/7 отвечает на твои вопросы во время урока.

Нужен ли мне опыт, чтобы начать Spring Security 6 & JWT Authentication?

Предыдущий опыт не требуется. Spring Security 6 & JWT Authentication на CoddyKit структурирован для всех уровней — от новичков до продвинутых, поэтому ты можешь начать отсюда или с самого начала и учиться в своем темпе. Это урок 3 из 4.

Сколько времени занимает урок «Распространённые типы разрешений OAuth2»?

Большинство уроков CoddyKit занимают около 5–10 минут. Каждый из них компактный и интерактивный, поэтому ты постоянно делаешь прогресс и продолжаешь с того же места в веб-версии и приложении.

Можно ли писать и запускать код в этом уроке Spring Security 6 & JWT Authentication?

Да. Каждый урок Spring Security 6 & JWT Authentication включает встроенный редактор кода, поэтому ты пишешь и запускаешь реальный код прямо в браузере и получаешь моментальную обратную связь от AI — локальная установка не требуется.

Все уроки этого курса

  1. Обзор протокола OAuth2
  2. Введение в OpenID Connect
  3. Распространённые типы разрешений OAuth2
  4. PKCE и защита общедоступных клиентов
← Назад к Spring Security 6 & JWT Authentication