OAuth2 là gì? Các luồng trong OAuth2

OAuth2 được hình thành như một giải pháp mang đến sự hiệu quả trong cách cung cấp quyền truy cập hoặc được ủy quyền mà không gây ra những tác động hay rủi ro đến dữ liệu người dùng. Vậy OAuth2 là gì?

OAuth2 là gì?

OAuth2 là khung cung cấp hoặc ủy quyền, thường được sử dụng cho các trang web và ứng dụng web, yêu cầu quyền truy cập hạn chế vào tài khoản của người dùng trên một ứng dụng khác. OAuth2 cho phép người dùng cấp quyền truy cập mà không để lộ thông tin đăng nhập vào ứng dụng yêu cầu.

OAuth2 ban đầu được phát triển như một cách chia sẻ quyền truy cập vào dữ liệu cụ thể giữa các ứng dụng, hoạt động bằng cách xác định một loạt các tương tác ba bên riêng biệt là Client, Resource Owner và nhà cung cấp dịch vụ.

OAuth2 hoạt động như thế nào?

• Bước 1: Client yêu cầu quyền truy cập vào một tập hợp dữ liệu của người dùng, chỉ định các loại cấp quyền và các quyền truy cập họ muốn sử dụng.
• Bước 2: Người dùng được nhắc đăng nhập vào OAuth2 và đồng ý đối với các quyền truy cập được yêu cầu.
• Bước 3: Client nhận được mã thông báo truy cập duy nhất, chứng minh họ được người dùng cho phép truy cập vào các dữ liệu được yêu cầu. Cách thức này sẽ xảy ra những thay đổi, tùy thuộc vào các loại cấp quyền.
• Bước 4: Client sử dụng mã thông báo truy cập để thực hiện các lệnh gọi và tìm nạp các dữ liệu có liên quan từ máy chủ tài nguyên.

OAuth2 bao gồm những những yếu tố gì?

Client (máy khách)

Client hay còn được gọi là ứng dụng, có thể ứng dụng chạy trên thiết bị di động hoặc một ứng dụng web truyền thống. Client thay mặt Resource Owner yêu cầu máy chủ tài nguyên được bảo vệ. Resource Owner phải cấp cho Client quyền truy cập vào các tài nguyên được bảo vệ.

Resource Owner

Resource Owner hay còn gọi là người dùng cuối, đây là người có khả năng cấp quyền truy cập vào tài nguyên đã được bảo vệ.

Máy chủ tài nguyên

Apigee Edge là một máy chủ tài nguyên được sử dụng bất cứ khi nào cần xác thực mã thông báo OAuth2 để xử lý các yêu cầu API. Máy chủ tài nguyên cần một số loại ủy quyền trước khi cung cấp các tài nguyên bảo vệ cho ứng dụng.

Máy chủ ủy quyền

Máy chủ ủy quyền được triển khai tuân theo đặc điểm kỹ thuật OAuth2, chịu trách nhiệm xác thực việc cấp ủy quyền và cấp mã thông báo để ứng dụng truy cập vào dữ liệu của người dùng trên máy chủ tài nguyên.

Cấp quyền

Cấp cho ứng dụng quyền truy xuất mã thông báo thay cho người dùng cuối.

Mã thông báo

Một chuỗi ký tự dài đóng vai trò là thông tin xác thực được sử dụng để truy cập các tài nguyên được bảo vệ. Ngoài ra, mã thông báo có thể được thiết lập với một số hạn chế, chẳng hạn như ứng dụng có thể đọc không thể chỉnh sửa hoặc xóa dữ liệu trên máy chủ tài nguyên.

Tài nguyên được bảo vệ

Các dữ liệu thuộc quyền quản lý của chủ sở hữu tài nguyên. Ví dụ, danh sách liên hệ, thông tin tài khoản, thông tin người dùng,…

OAuth2 có những ưu điểm và hạn chế như thế nào?

Ưu điểm

• Quyền truy cập vào các tài nguyên được thực hiện thông qua HTTP và HTTPS với mã thông báo được chỉ ra trong headers. Điều này cho phép bạn sử dụng OAuth2 trong hầu hết mọi giải pháp.
• Khả năng ủy quyền cho người dùng tiêu chuẩn, được phân loại theo các luồng.
• OAuth2 được sử dụng rất phổ biến, đa số các doanh nghiệp đều sử dụng trong API của họ.
• OAuth2 được sử dụng dựa trên SSL để đảm bảo các giao thức bảo mật mang lại bảo mật an toàn cho dữ liệu.
• Cho phép truy cập hạn chế vào dữ liệu người dùng và một số trường hợp truy cập khi mã thông báo ủy quyền hết hạn.
• Tính sẵn có của các giải pháp đã được thiết lập sẵn có thể thay đổi linh hoạt dựa trên yêu cầu của bạn.

Hạn chế

• Nếu thêm nhiều tiện ích mở rộng ở thông số kỹ thuật, bạn sẽ gặp phải một số triển khai không thể tương tác, đồng nghĩa với việc bạn phải cần có đoạn mã riêng biệt cho các trường hợp cần thiết.
• Trong trường hợp trang web của bạn kết nối với một trung tâm dữ liệu, khi trung tâm dữ liệu bị tấn công, điều này sẽ gây ra những ảnh hưởng nghiêm trọng đến trang web của bạn.
• Không có định dạng chung, mỗi cài đặt đều yêu cầu cách thiết lập triển khai riêng biệt.

OAuth2 cung cấp các luồng như thế nào?

Luồng (còn gọi là các loại cấp quyền) là quá trình một Client API thực hiện để lấy mã truy cập từ máy chủ uy quyền. OAuth2 cung cấp một số luồng phù hợp với các Client như: Mã ủy quyền, ngầm định, thông tin đăng nhập của Resource và thông tin xác thực Client.

Mã ủy quyền

Luồng phổ biến nhất, chủ yếu được sử dụng cho các ứng dụng web. Quy trình này tương tự như cách người dùng đăng ký vào một ứng dụng web bằng tài khoản một nền tảng khác, chẳng hạn như Google, Facebook,…

Ngầm định

Luồng này yêu cầu Client truy xuất trực tiếp mã thông báo truy cập. Điều này sẽ hữu ích trong một số trường hợp thông tin đăng nhập của người dùng không thể lưu trữ ở Client, chúng có thể bị bên thứ ba truy cập dễ dàng vào.

Thông tin đăng nhập của Resource Owner

Luồng này yêu cầu đăng nhập với tên người dùng và mật khẩu đã đăng ký. Vì trong trường hợp đó, thông tin đăng nhập là một phần của yêu cầu, quy trình này chỉ phù hợp với các ứng dụng đáng tin cậy.

Thông tin xác thực Client

Đây là luồng dành cho việc xác thực từ máy chủ đến máy chủ, quy trình mô tả cách tiếp cận khi Client tự hoạt động thay cho bất kỳ người dùng cá nhân nào. Luồng này cho phép người dùng chỉ định thông tin xác thực của họ trong Client và có thể truy cập các tài nguyên dưới sự kiểm soát của Client.

OAuth2 là một giải pháp đơn giản dựa trên HTTP, giúp bạn có thể sử dụng trên mọi nền tảng. Vì vậy, bạn hoàn toàn có thể đặt niềm tin vào OAuth2 trong các dự án của mình. Hy vọng bài viết sẽ cung cấp cho bạn thêm một số kiến thức hữu ích về OAuth2. Chúc bạn có những lựa chọn tốt nhất, phù hợp với nhu cầu của mình trong tương lai.

Một số câu hỏi liên quan đến OAuth2