0Pricing
OAuth2 & OpenID Connect Deep Dive · Ders

İtme Yetkilendirme İstekleri (PAR)

İtme Yetkilendirme İsteklerinin (RFC 9126) yetkilendirme parametrelerini güvenli bir arka kanal çağrısına nasıl taşıdığını ve gelişmiş OAuth2 kurulumlarında bütünlük ile gizliliği nasıl artırdığını öğrenin.

İtme Yetkilendirme İstekleri (PAR), CoddyKit'te ücretsiz bir OAuth2 & OpenID Connect Deep Dive dersidir. Bu, 4 dersinin 4. dersidir. Aşağıdan dersin tamamını ücretsiz okuyabilir, sonra tarayıcıda yerleşik kod editörü ve 7/24 yapay zeka koçu ile uygulamalı olarak pratik yapabilirsin. Bu, OAuth2 & OpenID Connect Deep Dive öğrenme yolunun bir parçasıdır ve ilerlemeniz web ve CoddyKit uygulaması arasında senkronize olur. OAuth2 & OpenID Connect Deep Dive kursu toplamda 4 dersten oluşur.

Bu dersin bazı bölümleri henüz çevrilmemiş olup İngilizce olarak gösterilmektedir.

The Front-Channel Problem

Normally authorization parameters travel in the browser URL to /authorize. They are visible, can be tampered with, and get long when requests are rich (claims, multiple resources). PAR moves them to a trusted back-channel.

What PAR Does

With Pushed Authorization Requests (RFC 9126), the client first POSTs all authorization parameters directly to a new pushed_authorization_request endpoint. The server stores them and returns a request_uri handle.

Step 1: Push the Request

The client authenticates and sends the parameters server-to-server.

POST /par HTTP/1.1
Host: op.example.com
Content-Type: application/x-www-form-urlencoded
Authorization: Basic <client creds>

response_type=code&client_id=app123
&scope=openid profile&redirect_uri=https://app/cb
&state=xyz&code_challenge=...&code_challenge_method=S256

Step 2: Receive request_uri

The server validates and stores the request, returning a one-time request_uri plus an expiry.

{
  "request_uri": "urn:ietf:params:oauth:request_uri:6esc_11ACC5bwc014ltc14",
  "expires_in": 60
}

Step 3: Redirect With the Handle

Now the browser redirect to /authorize carries only the client_id and the request_uri — nothing sensitive in the URL.

GET /authorize?client_id=app123
  &request_uri=urn:ietf:params:oauth:request_uri:6esc_11ACC5bwc014ltc14

Integrity and Confidentiality

Because parameters were pushed over an authenticated TLS channel, the user-agent cannot tamper with them, and they are not exposed in browser history, logs, or referrer headers. This raises assurance significantly.

Client Authentication at PAR

The PAR endpoint requires the client to authenticate (secret, mTLS, or private_key_jwt). This means the authorization request itself is tied to a verified client before the user ever sees the consent screen.

Short-Lived, One-Time Handles

The request_uri is short-lived (often 60 seconds) and intended for single use. After the authorization request consumes it, it cannot be replayed.

PAR and FAPI

PAR is a building block of FAPI 2.0 and financial-grade security profiles, where front-channel tampering must be eliminated. Many high-assurance deployments mandate PAR for all authorization requests.

Discovery Support

Providers advertise PAR via discovery metadata, including pushed_authorization_request_endpoint and optionally require_pushed_authorization_requests to enforce it.

{
  "pushed_authorization_request_endpoint": "https://op.example.com/par",
  "require_pushed_authorization_requests": true
}

When to Use PAR

Adopt PAR for confidential clients in regulated or high-value contexts, when requests carry sensitive parameters, or when you want to guarantee request integrity. It pairs naturally with PKCE and mTLS-bound tokens.

Quick Check

Test your PAR knowledge.

Recap

Pushed Authorization Requests (RFC 9126) move authorization parameters to a back-channel.

  • The client POSTs parameters to the PAR endpoint and gets a request_uri.
  • The browser redirect carries only client_id + request_uri.
  • This guarantees request integrity/confidentiality and authenticates the client up front.
  • PAR is a cornerstone of FAPI-grade security.

Sıkça Sorulan Sorular

“İtme Yetkilendirme İstekleri (PAR)” dersi ücretsiz mi?

Evet — “İtme Yetkilendirme İstekleri (PAR)” dersin tüm metni burada web'de ücretsiz olarak okunabilir. Etkileşimli olarak pratik yapmak (yerleşik kod editörü ve 7/24 yapay zeka koçu) ve OAuth2 & OpenID Connect Deep Dive kursunun geri kalanını açmak için CoddyKit PRO'ya yükselt. OAuth2 & OpenID Connect Deep Dive kursu toplamda 4 dersten oluşur.

“İtme Yetkilendirme İstekleri (PAR)” dersinde ne öğreneceğim?

İtme Yetkilendirme İsteklerinin (RFC 9126) yetkilendirme parametrelerini güvenli bir arka kanal çağrısına nasıl taşıdığını ve gelişmiş OAuth2 kurulumlarında bütünlük ile gizliliği nasıl artırdığını ö… OAuth2 & OpenID Connect Deep Dive ile uygulamalı kodu tarayıcıda doğrudan çalıştırarak pratik yaparsın ve 7/24 yapay zeka koçu dersi çalışırken sorularını yanıtlar.

OAuth2 & OpenID Connect Deep Dive öğrenmeye başlamak için deneyim gerekli mi?

Önceden deneyim gerekmez. CoddyKit'te OAuth2 & OpenID Connect Deep Dive, başlangıçtan ileri seviyeye kadar yapılandırıldığı için buradan başlayabilir veya başından başlayıp kendi hızında ilerleme yapabilirsin. Bu, 4 dersinin 4. dersidir.

“İtme Yetkilendirme İstekleri (PAR)” dersi ne kadar sürer?

Çoğu CoddyKit dersi yaklaşık 5–10 dakika sürer. Her biri kısa ve etkileşimli olduğu için sabit ilerleme yaparsın ve web ile uygulama arasında tam olarak bıraktığın yerden devam edebilirsin.

Bu OAuth2 & OpenID Connect Deep Dive dersinde kod yazıp çalıştırabilir miyim?

Evet. Her OAuth2 & OpenID Connect Deep Dive dersi yerleşik bir kod editörü içerir, bu sayede tarayıcıda gerçek kod yazıp çalıştırabilir ve anlık yapay zeka geri bildirimi alırsın — yerel kurulum gerekli değildir.

Bu kursun tüm dersleri

  1. FAPI ve Finansal Düzeyde API'ler
  2. DPoP (Bulundurma Kanıtını Gösterme)
  3. Sürekli Erişim Değerlendirme Protokolü (CAEP)
  4. İtme Yetkilendirme İstekleri (PAR)
← OAuth2 & OpenID Connect Deep Dive Sayfasına Dön