Spring GDS 25è Aniversari
Una empresa de logística que envia a 190 països va construir alguna cosa per enviar-se a si mateixa.
OAuth
Què és OAuth?
OAuth és un protocol d'autorització delegada. Permet a una aplicació accedir a una porció de les dades d'un usuari en un altre servei sense gestionar mai la contrasenya d'aquest usuari. En lloc de teclejar la teva contrasenya de Google en una app de tercers, et redirigeixen a Google, aproves un conjunt concret de permisos i l'app rep un token d'accés acotat exactament al que vas permetre. La contrasenya no surt mai de Google.
La idea central és consentiment i abast. L'usuari concedeix accés limitat i revocable, i el pot retirar més tard sense canviar la seva contrasenya. Aquest és el flux d'"iniciar sessió amb Google" o "connectar el teu Slack" que veus per tot arreu. Val la pena ser precís: OAuth tracta d'autorització, el que una app pot fer, no d'autenticació, demostrar qui ets. L'experiència d'"iniciar sessió amb" és en realitat OpenID Connect, una capa d'identitat construïda sobre OAuth. Una app de calendari que necessita afegir esdeveniments a la teva agenda fa servir OAuth per obtenir un token acotat al calendari, així pot escriure esdeveniments però no llegir el teu correu ni tocar res que no aprovessis.
L'estàndard actual és OAuth 2.0, amb diversos fluxos per a situacions diferents, des d'apps web en servidor a apps mòbils i accés de màquina a màquina.
OAuth a Dallonses
Sempre que un producte necessita connectar-se a Google, Microsoft, Slack o qualsevol servei en què un usuari ja confia, OAuth és com ho fem, perquè demanar als usuaris que lliurin contrasenyes a un tercer és alhora un risc de seguretat i un descart per a integracions serioses. Implementem el flux adequat a la situació, acotem els tokens amb precisió al que la funció necessita de debò i gestionem la renovació i revocació de tokens perquè la connexió sobrevisqui sense tornar-se un llast.
Els detalls són on OAuth es torça, així que s'enduen la nostra atenció. Paràmetres d'estat per bloquejar CSRF, emmagatzematge segur de tokens, la diferència entre autorització i identitat gestionada correctament en lloc de confosa. Això viu dins del nostre desenvolupament d'aplicacions web a mida i la nostra feina de desenvolupament API-first, al costat de la resta del stack d'autenticació, perquè una integració que filtra accés és pitjor que una que mai no es va construir.
Connectant el teu producte als serveis on els teus usuaris ja viuen? Posem bé el flux d'OAuth.
Serveis relacionats
Treballs relacionats
Vizitio
Convertir una marca en un negoci que funciona.
Access Ticket
Mig milió de persones. Una app. Zero caos.
Preparat per a traballar junts?
Reserva una reunió
