OAuth (Ủy quyền mở) là một tiêu chuẩn mở để xác thực và ủy quyền dựa trên mã thông báo, cho phép các ứng dụng và dịch vụ khác nhau thay mặt người dùng có được quyền truy cập một cách an toàn vào các tài nguyên được bảo vệ. Mục tiêu chính của OAuth là cấp cho các ứng dụng quyền truy cập hạn chế vào tài khoản người dùng trên các dịch vụ HTTP, cho phép họ truy cập dữ liệu cụ thể và thực hiện các thao tác mà không để lộ thông tin đăng nhập nhạy cảm của người dùng, chẳng hạn như mật khẩu. OAuth được sử dụng rộng rãi trong bối cảnh phát triển phụ trợ và đặc biệt quan trọng đối với các ứng dụng web, di động và API , thường yêu cầu truy cập dữ liệu người dùng từ các nhà cung cấp hoặc dịch vụ khác nhau, bao gồm mạng truyền thông xã hội, lưu trữ đám mây và nền tảng SaaS.
Được giới thiệu vào năm 2007, OAuth đã trải qua một loạt các sửa đổi và cải tiến giao thức, đỉnh điểm là phiên bản hiện tại, OAuth 2.0. OAuth 2.0 cung cấp một khung hợp lý và an toàn hơn để ủy quyền đồng thời đóng vai trò là nền tảng cho các tiêu chuẩn quản lý quyền truy cập và danh tính khác, chẳng hạn như OpenID Connect, được sử dụng để xác thực người dùng trong các tình huống đăng nhập một lần. Theo dữ liệu khảo sát của W3Techs, OAuth 2.0 đã được áp dụng rộng rãi trong toàn ngành và tính đến năm 2021, nó được sử dụng trong hơn 63% tất cả các trang web yêu cầu chức năng đăng nhập.
OAuth tận dụng bốn vai trò chính trong kiến trúc của nó: ứng dụng khách, chủ sở hữu tài nguyên, máy chủ tài nguyên và máy chủ ủy quyền. Ứng dụng khách là phần mềm tìm kiếm quyền truy cập vào các tài nguyên được bảo vệ, thường đại diện cho các ứng dụng web, ứng dụng dành cho thiết bị di động hoặc các dịch vụ phụ trợ khác. Chủ sở hữu tài nguyên là người dùng có thể cấp hoặc từ chối quyền truy cập vào tài nguyên của họ, được lưu trữ trên máy chủ tài nguyên, bằng cách ủy quyền cho ứng dụng khách. Máy chủ tài nguyên lưu trữ dữ liệu người dùng được bảo vệ và thực thi kiểm soát truy cập bằng cách xác thực mã thông báo của máy khách. Máy chủ ủy quyền chịu trách nhiệm xác minh danh tính của người dùng và cấp mã thông báo truy cập cấp các quyền cụ thể cho ứng dụng khách dựa trên sự đồng ý của người dùng.
Quy trình làm việc OAuth 2.0 có thể được tóm tắt trong một số bước chính. Đầu tiên, ứng dụng khách yêu cầu mã thông báo truy cập từ máy chủ ủy quyền bằng cách chuyển hướng người dùng đến trang web của máy chủ ủy quyền. Người dùng đăng nhập vào máy chủ ủy quyền và nếu họ chấp thuận yêu cầu của khách hàng, máy chủ ủy quyền sẽ gửi lại quyền cấp phép cho ứng dụng khách. Máy khách sử dụng khoản trợ cấp này để yêu cầu mã thông báo truy cập từ máy chủ ủy quyền. Sau khi nhận được, ứng dụng khách có thể sử dụng mã thông báo truy cập để truy cập các tài nguyên được bảo vệ trên máy chủ tài nguyên cho đến khi mã thông báo hết hạn hoặc bị thu hồi. Mã thông báo có phạm vi, có nghĩa là nó cấp các quyền cụ thể (chẳng hạn như chỉ đọc hoặc đọc-ghi) trên một nhóm tài nguyên hạn chế, do đó duy trì nguyên tắc đặc quyền tối thiểu.
Ưu điểm của việc sử dụng OAuth bao gồm tăng cường bảo mật, cải thiện trải nghiệm người dùng và giảm nhu cầu sử dụng mật khẩu dành riêng cho ứng dụng. Bảo mật được cải thiện bằng cách cho phép chủ sở hữu tài nguyên cấp quyền truy cập hạn chế vào tài khoản và tài nguyên của họ mà không để lộ thông tin đăng nhập của họ cho ứng dụng khách. Hơn nữa, máy chủ ủy quyền có thể cung cấp các biện pháp bảo mật bổ sung, chẳng hạn như xác thực đa yếu tố và xác thực dựa trên rủi ro, để tăng cường bảo vệ dữ liệu. Trải nghiệm người dùng được nâng cao bằng cách cung cấp trải nghiệm đăng nhập một lần trên các dịch vụ và ứng dụng khác nhau. Ngoài ra, vì mã thông báo OAuth có thể hủy bỏ và có thể được điều chỉnh về phạm vi nên người dùng và nhà cung cấp dịch vụ có quyền kiểm soát tốt hơn đối với quyền truy cập được cấp cho ứng dụng của người tiêu dùng.
Trong ngữ cảnh nền tảng no-code của AppMaster , OAuth có thể đóng vai trò thiết yếu trong việc đảm bảo liên lạc và tích hợp giữa các ứng dụng phụ trợ được tạo và các dịch vụ bên ngoài. Khi khách hàng tạo ứng dụng mới có tính năng xác thực người dùng và quyền truy cập dữ liệu từ nhà cung cấp bên thứ ba, AppMaster có thể tận dụng tiêu chuẩn OAuth 2.0 để xử lý luồng ủy quyền và tương tác máy khách-máy chủ, đảm bảo trải nghiệm tích hợp an toàn, có thể mở rộng và liền mạch.
OAuth là một công nghệ quan trọng để phát triển chương trình phụ trợ hiện đại, cho phép truy cập an toàn, có phạm vi và được người dùng đồng ý vào các tài nguyên được bảo vệ trên nhiều ứng dụng và dịch vụ. Bằng cách kết hợp OAuth vào các ứng dụng phụ trợ do AppMaster tạo, cả nhà phát triển và người dùng cuối đều có thể tận hưởng những lợi ích của khung ủy quyền an toàn, có thể mở rộng và thân thiện với người dùng.
