Granttypene

Granttypene er mekanismer i OAuth 2.0 som beskriver hvordan en klient får tilgangstokens fra en autorisasjonsserver. De angir hvilken flyt (flow) som brukes mellom klienten, brukeren og serveren for å utveksle legitimasjon mot et token.

Autorisasjonskode-grant brukes av apper med serverkomponenter. Brukeren autentiserer seg hos autorisasjonstjenesten, og appen bytter en midlertidig kode mot et tilgangstoken i token-endepunktet. Denne flyten er sikker og støtter PKCE for å beskytte mot kode-tyveri.

Implicit-grant er ment for klienter som kjører i brukerens nettleser og som ikke har sikre hemmeligheter. Tokenet utstedes direkte fra autorisasjonstjenesten. Den har lavere sikkerhet og brukes i mindre grad i moderne praksis.

Klientlegitimasjons-grant er for maskin-til-maskin-kommunikasjon uten brukerinnlogging. Klienten autentiserer seg med sin klient-ID og hemmelighet for å få et tilgangstoken.

Ressurs-eier-passord-grant lar brukeren dele sine innloggingsopplysninger med klienten, som deretter utveksler dem mot et token. Denne flyten anses som mindre sikker og brukes bare i spesielle situasjoner.

Refresh-token brukes til å få nye tilgangstokens uten at brukeren logger inn igjen. Refresh-token er ikke en uavhengig grant-type, men en del av enkelte flyter, ofte sammen med autorisasjonskode- eller passordgrant. PKCE (Proof Key for Code Exchange) er en sikkerhetsutvidelse til autorisasjonskode-grant som spesielt gagner offentlige klienter, som mobilapper eller nettapplikasjoner.

OAuth 2.0 ble publisert i 2012 av IETF. Granttypene er definert i RFC 6749 og tilhørende dokumenter. Moderne praksis fokuserer på PKCE, kortvarige tokens og prinsippet om minst privilegier.