- O que é OAuth?
- Qual sua finalidade?
- O que ele faz?
- Existe outras tecnologias alternativas a ele?
-
Não é bem um acesso a banco de dados de outro domínio que ocorre. Acredito que para isso eles usem uma técnica chamada oAuth. diogomafra.com.br/2010/09/como-funciona-autenticacao-oauth.html– mau humorCommented 16/04/2016 às 17:54
-
OWIN e OAuth O que são e como utilizar?– Largato ♦Commented 10/06/2016 às 14:33
-
2Quem votou negativo, será que poderia me dizer o motivo por favor, agradeceria muito?– Vinícius LimaCommented 27/06/2016 às 14:39
2 Respostas
O que é OAuth 2.0 e qual a sua utilidade?
O OAuth é um protocolo de autorização para API's web voltado a permitir que aplicações client acessem um recurso protegido em nome de um usuário.
Quando desenvolvemos uma API web temos em mente que ela seja consumida por aplicações client. A ideia é que a lógica de negócio em si e os dados da aplicação podem ser acessados por meio de uma API web. O que o usuário final vai realmente usar, por outro lado, é um exemplo de aplicação client.
Um exemplo disso seria com as aplicações de página única (SPA's) construídas em JavaScript, ou então um aplicativo móvel construído com android.
Além disso, as aplicações client não são necessariamente só as aplicações que interagem diretamente com o usuário final. Qualquer aplicação que para seu funcionamento precisa utilizar a API web construída é uma aplicação client dessa API.
Nesse sentido, quando utilizamos API's web é comum e necessário considerarmos que uma ou mais aplicações vão precisar interagir com essa API. Mais do que isso, é comum que aplicações de terceiros precisem usar essas API's.
Se existem recursos protegidos na API, ou seja, que devem ter o acesso controlado e só podem ser acessados por um usuário específico, então é preciso considerar como levar em conta essas diversas aplicações client, porque afinal, o usuário não vai a acessar o recurso diretamente, mas vai, na verdade, delegar essa tarefa a uma aplicação client.
Uma opção inicial seria que o usuário especificasse em cada aplicação client os seus dados de acesso (como login e senha), mas isso tem alguns problemas. Alguns desses problemas são listados na própria especificação, que estão abaixo em tradução livre:
As aplicações de terceiros precisam salvar as credenciais do usuário para uso futuro, tipicamente uma senha em texto claro.
Os servidores precisam suportar autenticação por senha, apesar das falhas de segurança inerentes a esse tipo de autenticação.
As aplicações de terceiros ganham um acesso muito amplo aos recursos protegidos do usuário, deixando o usuário sem a possibilidade de restringir a duração desse acesso ou limitar o acesso a um subconjunto dos recursos.
Os usuários não podem revogar o acesso a uma aplicação de terceiro de forma individualizada sem revogar o acesso a todas as aplicações de terceiros, e para fazer isso é necessário trocar a senha.
É por isso tudo que é necessário o OAuth para fazer autorização de forma segura e coerente no contexto de API's web.
O que o OAuth 2.0 faz?
O OAuth, sendo uma especificação, descreve de forma detalhada uma maneira de tratar todos os problemas considerados. Ele estabelece definições como:
Resource Owner: a entidade que é capaz de controlar o acesso a um recurso protegido. É o "dono do recurso", mas nem sempre é uma pessoa. Quando ele é uma pessoa ele é o usuário final.
Resource Server: o servidor que possui os recursos protegidos e recebe as requisições para acessar esses recursos.
Authorization Server: é um servidor que gera tokens de acesso para permitir que o client acesse os recursos que o resource owner permitiu com o nível de acesso que o resource owner especificou.
Client: é a aplicação que acessa os recursos no resource server em nome do usuário. O client pode ser qualquer tipo de aplicação que faça isso.
Com essas definições, o OAuth estabelece que quando uma aplicação client precisa acessar um recurso protegido no resource server ele deve obter um "token de acesso". Esse "token de acesso" é um token contendo as informações que caracterizam o acesso que o resource owner permitiu aos recursos protegidos.
Perceba que isso resolve os problemas especificados pois: o client não precisa das credenciais do resource owner, somente precisa de um token gerado pelo authorization server, que é uma aplicação confiável. Através do token, o resource owner pode especificar um acesso personalizado, e permitir ao client acesso somente a um subconjunto dos recursos protegidos. Além disso, é fácil revogar o acesso, pois basta invalidar o token concedido, sem falar que os tokens possuem um tempo de vida específico e não podem ser usados para sempre.
Além disso tudo, o OAuth especifica fluxos. Cada fluxo é para uma situação particular de interação entre cliente, authorization server e resource server. Esses fluxos são detalhados e dizem todos os passos necessários para, naquele caso, obter o acesso desejado. Para ver esses fluxos em detalhes é recomendável olhar na especificação.
Existem alternativas?
Existem outras formas de gerenciar autorização em API's web como o tradicional modo de usar usuário e senha, mas como já explicado, esses métodos mais tradicionais tendem a ter alguns problemas que o OAuth foi pensado para resolver.
-
1Dei a recompensa sem querer errado, mas pode ficar tranquilo que assim que eu conseguir completar 1200 de pontuação eu ofereço outra recompensa na pergunta de novo para dar pra você. Por quê agora o mínimo é 200. Estou tipo, meu Deus como eu sou lerdo e distraído pra não perceber isso Commented 16/06/2016 às 20:19
-
-
1@José, na verdade não é bem assim. O OAuth é uma especificação, é algo abstrato. Em geral existem bibliotecas para te auxiliar a implementar o OAuth na sua aplicação. Por exemplo, no ASP.NET Core existe o Identity Server 4, mas não é a única opção. É importante entender essa distinção: o OAuth é uma especificação, um contrato que diz o que deve ser feito, quais fluxos devem estar presentes e como tudo deve acontecer, e aí tem as implementações concretas que se devem seguir a especificação. Commented 1/07/2016 às 18:55
-
Bacana sua resposta @Leonardo, já deixei o meu +1 a muito tempo. Quer ganhar mais 200 pontos? Me ajude aqui: Como implementar a autorização do google no asp.net core? :)– MarconiCommented 7/08/2018 às 19:24
O que é OAuth?
O OAuth é um protocolo de autorização muito utilizado em aplicações web escaláveis. A versão atual é a 2.0 e utiliza tokens para acessar seus dados em outro sistema e provavelmente em outro banco de dados.
Tem a documentação e exemplos na página oficial: link
Qual sua utilidade?
Você já pensou em como é feito o acesso a sua conta Google ou Facebook nos jogos do Android? Pois bem, é usando esse protocolo.
Ele possibilita que outros sistemas acessem alguns dados sem que você precise fazer login com usuário e senha ou informe seus dados sempre, retornando tokens de autorização.
Como usar?
Na documentação oficial tem alguns exemplos em diversas linguagens, você pode criar clientes para consumir dados do Facebook, por exemplo, ou criar um servidor de autorização para que outros sistemas consumam ele.
Verifique algumas documentações sobre a implementação:
(Opcional) Como posso aplicar ao meu script PHP?
Vai depender do que você precisa fazer. Eu, por exemplo, crio algumas aplicações com login através do Facebook e do Google, você pode fazer isso. Além de poder implementar o PayPal, pagseguro e outros sistemas usando-o.
-
Uma dúvida, ele pega informações dos servidores além de dados com permissão do usuário? Commented 27/05/2016 às 15:16
-
Sim. Ele dá permissões para que você acesse informações diversas. Por exemplo: no Facebook é possível acessar a lista de amigos, dados de cadastro etc. Commented 27/05/2016 às 15:55