Implicitflödet

Implicitflödet, eller implicit flow, är ett av OAuth 2.0:s auktorisationsflöden och används för att ge en klient en åtkomsttoken direkt från auktorisationsservern utan att utbyta en auktoriseringskod. Det är särskilt riktat mot publikklienter som körs i en webbläsare utan säkra serverkomponenter, till exempel en enkel single-page-applikation.

I praktiken startar klienten en auktorisationsförfrågan med parametern response_type=token, tillsammans med client_id, redirect_uri och eventuella scopes och state. Efter användarens autentisering återförs tokenet till klienten i själva redirect-URI: tokenet placeras i fragmentet av URL: delen efter #. Klienten hämtar tokenet från fragmentet och använder det i Authorization-headern när den begär tillgång till skyddade resurser.

Flödet kännetecknas av att inga serverbaserade byten av tokens sker och att tokener vanligtvis inte följs av någon refresh-token. Det innebär enkel implementering men större säkerhetsrisker eftersom access-token exponeras för användarens webbläsare, vilket kan leda till att tokenet exponerats i webbläsarhistorik, loggar eller genom tredje parts komponenter.

Säkerhet och rekommendationer: Implicitflödet har visat sig vara mindre säkert än alternativa lösningar eftersom tokenet lämnas till klientens frontend. Modernisering av OAuth 2.0-praktiker har därför förespråkat att använda Authorization Code Flow med PKCE även för publikklienter, och i arbetet med OAuth 2.1 föreslås implicit-flödet i praktiken avvecklas. Om implicitflödet används bör det kombineras med principer som kortlivade tokens, HTTPS och noggrann hantering av redirect-UR:er för att minska risker.

Se även: OAuth 2.0, PKCE, Authorization Code Flow.