HTTP | OAuth2

OAuth2 umożliwia aplikacjom trzecim uzyskanie ograniczonego dostępu do usługi HTTP, zarówno w imieniu właściciela zasobu, jak i na własny rachunek aplikacji. Dzięki OAuth2 dostawcy usług i aplikacje konsumenckie mogą współdziałać ze sobą w bezpieczny sposób.

W OAuth2 istnieją 4 role:

• Resource Owner: użytkownik.

• Resource Server: serwer przechowujący chronione zasoby i udostępniający do nich dostęp na podstawie tokenu dostępu.

• Client: zewnętrzna aplikacja ubiegająca się o uprawnienia.
• Serwer autoryzacji: wydaje token dostępu po uwierzytelnieniu użytkownika.

Komponenty

• TsgcHTTP_OAuth2_Client: jest klientem z obsługą OAuth2, umożliwiającym łączenie się z serwerami OAuth2 w celu żądania uwierzytelnienia, np. przez Google, Facebook...

• TsgcHTTP_OAuth2_Server: implementacja serwerowa protokołu OAuth2, umożliwiająca ochronę zasobów serwera.
• TsgcHTTP_OAuth2_Server_Provider: umożliwia implementację zewnętrznych dostawców OAuth2 (takich jak Azure AD, Google, Facebook...) na Twoim serwerze, dzięki czemu użytkownik może logować się przy użyciu danych uwierzytelniających Azure, Google, Facebook...

Serwer i klient OAuth2 obsługują PKCE (Proof Key for Code Exchange), które jest rozszerzeniem przepływu Authorization Code zapobiegającym atakom CSRF i wstrzykiwaniu kodu autoryzacyjnego (RFC 7636).