กำหนดขอบเขตสิ่งที่โทเค็นทำได้

โทเคนที่ถูกต้องไม่ควรปลดล็อกทุกสิ่ง ขอบเขตช่วยให้โทเคนมีเฉพาะสิทธิ์ที่ผู้ถือจำเป็นต้องใช้จริงเท่านั้น 🎯

ขอบเขตคือสิทธิ์ที่มีชื่อกำกับ เช่น อ่านหรือเขียน โทเคนจะออกมาพร้อมชุดขอบเขตที่ระบุว่าทำอะไรได้บ้าง

ปฏิบัติตามหลักสิทธิ์เท่าที่จำเป็น: มอบขอบเขตชุดเล็กที่สุดที่ทำงานให้สำเร็จ และไม่มอบสิ่งอื่นเพิ่มเติม

เมื่อ OAuth ออกโทเคน ขอบเขตที่มอบให้จะถูกบันทึกไว้พร้อมกับโทเคนนั้น เซิร์ฟเวอร์สามารถอ่านข้อมูลนี้เพื่อกำหนดว่าจะอนุญาตอะไร

ก่อนเรียกใช้เครื่องมือที่มีความละเอียดอ่อน ให้ยืนยันว่าโทเคนมีขอบเขตที่จำเป็น หากไม่มี ให้ปฏิเสธการเรียก

แยกขอบเขตการอ่านออกจากขอบเขตการเขียน เพื่อให้โทเคนที่มีไว้ดูข้อมูลเท่านั้นไม่สามารถแก้ไขข้อมูลโดยที่ผู้ใช้ไม่รู้

คุณสามารถกำหนดขอบเขตการเข้าถึงแยกตามเครื่องมือได้ โดยเปิดให้ทุกคนใช้เครื่องคิดเลขที่ปลอดภัย ขณะที่ควบคุมการใช้เครื่องมือลบด้วยขอบเขตที่เข้มงวดกว่า

ขอบเขตสามารถจำกัดว่าโทเคนจะมองเห็นทรัพยากรใดได้บ้าง เช่น โฟลเดอร์โครงการหนึ่งโฟลเดอร์ แทนที่จะเห็นทุกไฟล์ที่เซิร์ฟเวอร์เข้าถึงได้

คำขอที่มีโทเคนถูกต้องแต่ใช้ขอบเขตไม่ตรงนั้นผ่านการยืนยันตัวตนแล้วแต่ไม่ได้รับอนุญาต ดังนั้นคำตอบที่ถูกต้องคือ 403 Forbidden

เก็บบันทึกว่าโทเคนใดมีขอบเขตใดบ้าง เส้นทางการตรวจสอบช่วยให้เห็นชัดเจนว่าใครทำอะไรได้ หากเกิดปัญหาขึ้น

ทบทวนขอบเขตเป็นประจำและเพิกถอนขอบเขตที่ไม่จำเป็นแล้ว การจำกัดให้แคบลงอย่างต่อเนื่องช่วยลดพื้นที่การโจมตีของคุณ

ขอบเขตเปลี่ยนโทเคนหนึ่งรายการให้เป็นกุญแจที่เจาะจง มอบสิทธิ์เท่าที่จำเป็น ตรวจสอบแยกตามเครื่องมือ และตอบ 403 เมื่อไม่มีขอบเขต 🗝️