O que é OAuth 2.0 e qual a sua utilidade?
O OAuth é um protocolo de autorização para API's web voltado a permitir que aplicações client acessem um recurso protegido em nome de um usuário.
Quando desenvolvemos uma API web em geral temos em mente que ela seja consumida por aplicações client. A ideia é que a lógica de negócio em si e os dados da aplicação podem ser acessados por meio de uma API web. O que o usuário final vai realmente usar, por outro lado, é um exemplo de aplicação client.
Um exemplo disso seria com as aplicações de página única (SPA's) construídas em JavaScript, ou então um aplicativo móvel construído com android.
Além disso, as aplicações client não são necessariamente só as aplicações que interagem diretamente com o usuário final. Qualquer aplicação que para seu funcionamento precisa utilizar a API web construída é uma aplicação client dessa API.
Nesse sentido, quando utilizamos API's web é comum e necessário considerarmos que uma ou mais aplicações vão precisar interagir com essa API. Mais do que isso, é comum que aplicações de terceiros precisem usar essas API's.
Se existem recursos protegidos na API, ou seja, que devem ter o acesso controlado e só podem ser acessados por um usuário específico, então é preciso considerar como levar em conta essas diversas aplicações client, porque afinal, o usuário não vai a acessar o recurso diretamente, mas vai, na verdade, delegar essa tarefa a uma aplicação client.
Uma opção inicial seria que o usuário especificasse em cada aplicação client os seus dados de acesso (como login e senha), mas isso tem alguns problemas. Alguns desses problemas são listados na própria especificação, que estão abaixo em tradução livre:
As aplicações de terceiros precisam salvar as credenciais do usuário para uso futuro, tipicamente uma senha em texto claro.
Os servidores precisam suportar autenticação por senha, apesar das falhas de segurança inerentes a esse tipo de autenticação.
As aplicações de terceiros ganham um acesso muito amplo aos recursos protegidos do usuário, deixando o usuário sem a possibilidade de restringir a duração desse acesso ou limitar o acesso a um subconjunto dos recursos.
Os usuários não podem revogar o acesso a uma aplicação de terceiro de forma individualizada sem revogar o acesso a todas as aplicações de terceiros, e para fazer isso é necessário trocar a senha.
É por isso tudo que é necessário o OAuth para fazer autorização de forma segura e coerente no contexto de API's web.
O que o OAuth 2.0 faz?
O OAuth, sendo uma especificação, descreve de forma detalhada uma maneira de tratar todos os problemas considerados. Ele estabelece definições como:
Resource Owner: a entidade que é capaz de controlar o acesso a um recurso protegido. É o "dono do recurso", mas nem sempre é uma pessoa. Quando ele é uma pessoa ele é o usuário final.
Resource Server: o servidor que possui os recursos protegidos e recebe as requisições para acessar esses recursos.
Authorization Server: é um servidor que gera tokens de acesso para permitir que o client acesse os recursos que o resource owner permitiu com o nível de acesso que o resource owner especificou.
Client: é a aplicação que acessa os recursos no resource server em nome do usuário. O client pode ser qualquer tipo de aplicação que faça isso.
Com essas definições, o OAuth estabelece que quando uma aplicação client precisa acessar um recurso protegido no resource server ele deve obter um "token de acesso". Esse "token de acesso" é um token contendo as informações que caracterizam o acesso que o resource owner permitiu aos recursos protegidos.
Perceba que isso resolve os problemas especificados pois: o client não precisa das credenciais do resource owner, somente precisa de um token gerado pelo authorization server, que é uma aplicação confiável. Através do token, o resource owner pode especificar um acesso personalizado, e permitir ao client acesso somente a um subconjunto dos recursos protegidos. Além disso, é fácil revogar o acesso, pois basta invalidar o token concedido, sem falar que os tokens possuem um tempo de vida específico e não podem ser usados para sempre.
Além disso tudo, o OAuth especifica fluxos. Cada fluxo é para uma situação particular de interação entre cliente, authorization server e resource server. Esses fluxos são detalhados e dizem todos os passos necessários para, naquele caso, obter o acesso desejado. Para ver esses fluxos em detalhes é recomendável olhar na especificação.
Existem alternativas?
Existem outras formas de gerenciar autorização em API's web como o tradicional modo de usar usuário e senha, mas como já explicado, esses métodos mais tradicionais tendem a ter alguns problemas que o OAuth foi pensado para resolver.