Как устроено клиент-серверное взаимодействие в протоколе OAuth 2.0?

Основные компоненты:

1. Клиент - приложение, запрашивающее доступ

2. Сервер авторизации - выдает токены доступа

3. Ресурсный сервер - хранит данные пользователя

4. Владелец ресурса - пользователь

Типовой flow (Authorization Code):

1. Клиент перенаправляет пользователя на сервер авторизации

2. Пользователь подтверждает запрос прав

3. Сервер возвращает код авторизации

4. Клиент обменивает код на токен доступа

5. Клиент использует токен для доступа к API

Типы grant types:

• Authorization Code (для веб-приложений)

• Implicit (упрощенный, для SPA)

• Client Credentials (для сервер-сервер)

• Password (устаревший, не рекомендуется)

Пример запроса токена:

POST /token HTTP/1.1
Host: auth-server.com
Content-Type: application/x-www-form-urlencoded

grant_type=authorization_code
&code=SplxlOBeZQQYbYS6WxSbIA
&redirect_uri=https%3A%2F%2Fclient%2Fcallback
&client_id=client_id
&client_secret=client_secret