Integration med OAuth 2.0

Har du någon gång loggat in i en app med ”Login with Google” eller ”Login with Facebook”? Det är OAuth 2.0 i praktiken!

OAuth 2.0 är ett auktoriseringsramverk som gör det möjligt för tredjepartsapplikationer att få begränsad åtkomst till en användares resurser på en HTTP-tjänst, till exempel Google eller Facebook, utan att dela användarens inloggningsuppgifter.

Det handlar om att bevilja åtkomst på ett säkert sätt.

Varför skulle man inte bara be användarna om deras Google-lösenord?

• Säkerhet: Din app får aldrig se användarens huvudsakliga lösenord.
• Användarupplevelse: Smidiga inloggningar utan att användarna behöver skapa nya konton.
• Begränsad åtkomst: Användarna beviljar specifika behörigheter, till exempel att läsa e-post men inte radera den.
• Skalbarhet: Fokusera på din app i stället för att bygga komplexa autentiseringssystem.

För att förstå OAuth behöver du känna till de viktigaste rollerna:

• Resursägare: Användaren som äger datan, till exempel du.
• Klient: Din applikation som begär åtkomst.
• Auktoriseringsserver: Där användaren beviljar åtkomst, till exempel Googles auktoriseringsserver.
• Resursserver: Där de skyddade data finns, till exempel Googles API för användardata.

Det vanligaste och säkraste flödet för webbapplikationer är Authorization Code Grant.

Det omfattar några omdirigeringar och säkerställer att din app aldrig hanterar användarens inloggningsuppgifter direkt.

Vi går igenom hur din app får tillstånd att komma åt en användares data hos en tredjepartstjänst.

När en användare klickar på ”Login with Google” i din app:

1. Omdirigerar din app (klienten) användarens webbläsare till auktoriseringsservern, till exempel Google.
2. Den här omdirigerings-URL:en innehåller ditt klient-ID, en begärd scope (behörigheter) och en omdirigerings-URI.

Användaren ser en skärm där hen ombeds ge sitt samtycke.

När användaren har beviljat åtkomst på auktoriseringsserverns samtyckesskärm:

1. Omdirigerar auktoriseringsservern användarens webbläsare tillbaka till appens angivna omdirigerings-URI.
2. Den här omdirigeringen innehåller en tillfällig auktoriseringskod i URL-parametrarna.

Koden är kortlivad och kan bara användas en gång.

Nu tar backendservern över:

1. Din backend skickar en direkt begäran från server till server till auktoriseringsserverns token-endpoint.
2. Den skickar auktoriseringskoden, ditt klient-ID och din klienthemlighet (en hemlig nyckel som bara din server känner till).

Detta är ett säkert utbyte eftersom klienthemligheten aldrig exponeras för användarens webbläsare.

Om utbytet lyckas tar din backend emot två viktiga tokens:

• Access token: En kortlivad token som används för att skicka begäranden till resursservern, till exempel Google APIs, för användarens räkning.
• Refresh token: En långlivad token som används för att hämta nya access-tokens när den aktuella token har gått ut, utan att användaren behöver autentisera sig igen.

Förvara dessa tokens säkert!

Håll din OAuth-integration säker:

• Klienthemlighet: Exponera den aldrig i klientkod.
• State-parameter: Använd den för att förhindra attacker med Cross-Site Request Forgery (CSRF) under omdirigeringen.
• HTTPS: Använd alltid HTTPS för all kommunikation.
• Scope-hantering: Begär endast de minsta nödvändiga behörigheterna.

För en SaaS-applikation är OAuth 2.0 avgörande för:

• Användarintroduktion: Snabba registreringar via Google, GitHub med mera.
• API-integrationer: Anslutning till andra tjänster, till exempel Stripe och Slack, för dina användares räkning.
• Förbättrad användarupplevelse: Användare föredrar att slippa skapa nya lösenord.

Det förenklar åtkomsthanteringen och ökar förtroendet.

Du har lärt dig om OAuth 2.0, ett kraftfullt ramverk för delegerad auktorisering!

• Det möjliggör säker och begränsad åtkomst till användarresurser utan att lösenord delas.
• De viktigaste rollerna är resursägare, klient, auktoriseringsserver och resursserver.
• Authorization Code Grant är ett säkert flöde med omdirigeringar och tokenutbyte mellan servrar.
• Följ alltid bästa säkerhetspraxis, till exempel att använda HTTPS och state-parametern samt skydda klienthemligheten.

Den här kunskapen är viktig när du bygger moderna och integrerade SaaS-applikationer.