Definicja OAuth 2.0
OAuth 2.0 to otwarty standard autoryzacji, który umożliwia aplikacjom stron trzecich dostęp do zasobów użytkownika przechowywanych na innym serwerze - bez potrzeby udostępniania loginu i hasła. Działa poprzez przydzielanie ograniczonego i odwoływalnego tokenu dostępowego.
Kluczowe komponenty
| Komponent | Opis |
|---|---|
| Resource Owner | Użytkownik, którego dane są chronione. |
| Client | Aplikacja żądająca dostępu do danych użytkownika. |
| Authorization Server | Serwer wydający tokeny na podstawie autoryzacji. |
| Resource Server | Serwer, który przechowuje zasoby i honoruje tokeny dostępu. |
Typowe scenariusze autoryzacji
| Grant Type | Przeznaczenie |
|---|---|
| Authorization Code | Bezpieczny przepływ dla aplikacji webowych. |
| Implicit | Stosowany przez aplikacje SPA (obecnie niezalecany). |
| Client Credentials | Dostęp bez użytkownika – dla integracji serwer–serwer. |
| Resource Owner Password | Bezpośrednie podanie loginu i hasła (już niezalecane). |
| Device Code | Autoryzacja na urządzeniach z ograniczonym UI (TV, IoT). |
Zalety OAuth 2.0
- Bezpieczeństwo – użytkownik nie musi udostępniać swojego hasła aplikacjom.
- Kontrola dostępu – możliwość ograniczenia zakresu (ang. scope) uprawnień.
- Możliwość odwołania dostępu – użytkownik może cofnąć zgodę w dowolnym momencie.
- Powszechność – wspierany przez większość dużych platform (Google, Microsoft, GitHub).
Wyzwania wdrożeniowe
- Złożoność – różnorodność grantów i mechanizmów odświeżania tokenów.
- Zagrożenia CSRF i redirect URI spoofing – wymagają stosowania dobrych praktyk.
- Brak standaryzacji sesji – konieczność własnej implementacji logiki sesji.
- Ryzyko błędnej implementacji – np. przechowywanie tokenów w lokalnej pamięci przeglądarki.
OAuth vs OpenID Connect
OAuth 2.0 zapewnia autoryzację, natomiast OpenID Connect (OIDC) to rozszerzenie OAuth 2.0 o uwierzytelnianie. OIDC pozwala na uzyskanie danych tożsamości użytkownika, co czyni go idealnym do logowania jednokrotnego (SSO).
Przykłady zastosowania
- Logowanie przy użyciu konta Google lub Facebooka.
- Integracja aplikacji z API CRM, kalendarza czy chmury.
- Automatyczne przyznawanie dostępu serwisom w imieniu użytkownika (np. synchronizacja danych).
Dobre praktyki
- Zawsze stosuj
PKCEdla aplikacji klienckich. - Ograniczaj zakres tokenów (
scope) do minimum. - Przechowuj tokeny bezpiecznie – najlepiej poza przeglądarką.
- Monitoruj i odświeżaj tokeny w sposób kontrolowany i zgodny z RFC 6749.
Standardy i specyfikacje
- RFC 6749 – podstawowa specyfikacja OAuth 2.0.
- RFC 6750 – Bearer Token Usage.
- OAuth 2.1 (draft) – uproszczona, zaktualizowana wersja, eliminująca starsze granty.
- OpenID Connect – warstwa uwierzytelnienia oparta na OAuth 2.0.