OAuth 2.0 nedir?
OAuth 2.0, bir uygulamanın başka bir hizmetteki belirli kaynaklara sınırlı erişim izni alması için kullanılan yetkilendirme çerçevesidir. Tek başına “kullanıcı kimliği doğrulama protokolü” değildir.
Çalışma mantığı ve kullanım alanları
1. Temel çalışma ilkesi Kaynak sahibi, istemci uygulama, yetkilendirme sunucusu ve kaynak sunucusu farklı rollerdir. Yaygın kod akışında kullanıcı izin verir, istemci kodu güvenli biçimde tokenla değiştirir; erişim tokenı kapsam ve süreyle sınırlanabilir. 2. Kullanım alanları ve örnekler Bir uygulamanın takvim veya dosya hizmetine yalnız gerekli izinle bağlanması örnektir. Kimlik bilgisi gerektiğinde OpenID Connect gibi ek katman kullanılabilir. Ekranda “X ile giriş” yazması her zaman aynı güvenlik modelini göstermez.
Sınırlamalar ve doğru uygulama
3. Sınırlar ve güvenlik Token sızıntısı, aşırı geniş kapsam, yanlış yönlendirme URI’si ve zayıf istemci doğrulaması risk yaratır. Güncel güvenlik uygulamaları yetkilendirme kodu, PKCE ve kesin dönüş adresi kontrolünü öne çıkarır; eski akışlar önerilmez. 4. Uygulamada dikkat edilecekler İzin ekranında istenen kapsamı ve uygulamanın kimliğini kontrol edin. Geliştiriciler tokenları gizli saklamalı, kısa ömür ve yenileme kurallarını tasarlamalı, iptal mekanizması ve güncel güvenlik BCP’sini izlemelidir.