OAuth explicado em 4 minutos

OAuth é um padrão de autorização de aplicativo amplamente usado na web para autorização rápida e contínua em aplicativos. Ele permite que você compartilhe o acesso a aplicativos e permissões com segurança, o que simplifica os obstáculos de controlar o acesso ao aplicativo.

OAuth e por que precisamos dele

OAuth significa Open Authorization é um protocolo seguro padrão do setor que nos permite aprovar uma interação de aplicativo com outro sem compartilhar a senha e outras informações. Em vez de compartilhar uma senha de usuário e credenciais de aplicativo para aplicativo, o OAuth passa a autorização entre aplicativos por HTTPS com tokens de acesso.

Por exemplo:

• Digamos que você possa notificar o Facebook que é válido para o Spotify acessar seu perfil e postar atualizações em seus cronogramas sem dar nada ao Spotify (senha e credenciais do Facebook) . Desta forma, fica mais seguro, e em caso de violação de dados no Spotify , sua senha do Facebook permanecerá segura.
• Da mesma forma, quando um usuário autoriza um aplicativo a acessar os dados de sua conta do Spotify, ele não deve armazenar seu nome de usuário e senha, pois os desenvolvedores não querem ser responsáveis ​​por nenhuma informação sensível; em vez disso, eles contam com um protocolo OAuth seguro que cuida do fluxo de autorização com a ajuda de tokens de acesso .

4 funções OAuth

Para realizar a Autorização com o aplicativo, OAuth precisa de uma série de apertos de mão , se todos forem feitos com sucesso é gerado o token de acesso que posteriormente é usado na última etapa para Autorização entre aplicativos.

As quatro funções principais que são necessárias para se comunicar para obter um token de acesso:

• Servidor de recursos: A API que armazena dados que o aplicativo deseja acessar ( por exemplo, Spotify API).
• Proprietário do recurso: possui todos os dados em um servidor de recurso (um usuário que deseja fazer login com o Spotify será o proprietário de sua conta do Spotify).
• Cliente: Aplicativo que precisa acessar seus dados ( por exemplo, Seu Aplicativo).
• Servidor de autorização: o servidor que recebe solicitações dos tokens de acesso do cliente e emite esses tokens na autenticação bem-sucedida ( por exemplo, Serviço de contas Spotify).

Há mais uma coisa que você precisa saber antes dos conceitos de OAuth , o conceito de escopos em OAuth nos permite decidir exatamente quais recursos devem ser fornecidos ao cliente que está solicitando autorização. Eles simplesmente fornecem aos usuários de aplicativos de terceiros para garantir que apenas as informações escolhidas sejam compartilhadas e nada mais.

Tokens OAuth

A partir de agora, você deve ter entendido que OAuth trata principalmente de gerar tokens de acesso, você pode pensar nisso como um sistema de autenticação de wo-fator , onde você recebe códigos por mensagem de texto para fazer login. Semelhante a esses códigos de autenticação de dois fatores , Os tokens de acesso OAuth têm um tempo limitado no qual são válidos, depois de um momento, todos os tokens expiram e você precisa gerar um novo.

Para entender o processo de token de acesso OAuth, dividi todo o processo em 5 etapas com um exemplo de Spotify e Facebook .

Antes de qualquer etapa inicial de solicitação entre cliente e servidor , o cliente precisa do ID do cliente e do segredo do cliente para iniciar o fluxo OAuth. Eles são apenas duas strings que identificam e autenticam seu aplicativo específico ao solicitar um token de acesso. Assim que esses dois valores forem alcançados, estamos prontos para iniciar o fluxo do OAuth.

• O cliente solicita autorização para acessar os dados (Etapa 1): nesta etapa, o aplicativo cliente envia uma solicitação de autorização contendo o ID do cliente e o segredo para o servidor de autorização, essa solicitação inclui todos os escopos e um URI de redirecionamento para o qual o servidor de autorização envia o token de acesso .
• Autorização de Acesso ao Cliente ( Etapa 2): Nesta etapa, o servidor de autorização autentica o cliente usando o ID do cliente e o segredo , que posteriormente verificam se o escopo solicitado é permitido.
• O usuário concede acesso ao aplicativo (etapa 3): agora, o usuário é redirecionado para uma página diferente onde ele pode conceder ao aplicativo acesso à sua conta do Spotify.
• O cliente recebe o token de acesso (Etapa 4): Uma vez que o usuário concede acesso fazendo login em sua conta do Spotify, o servidor de autorização redireciona os usuários de volta ao cliente com um token de acesso.
• Usando o token de acesso ( Etapa 5): Na última etapa, o cliente usa o token de acesso para acessar recursos do servidor de recursos.