Tokenalapú

Tokenalapú hitelesítés és jogosultság-ellenőrzés olyan megoldások összefoglaló neve, amelyek hozzáférést egy biztonsági token bemutatásával adnak. A modell gyakran elhagyja a szerver oldali állandó munkameneteket, és a kliens egy időkorlátozott tokent kap, amelyet minden további kéréshez mellékel. A tokenek lehetnek emberi olvasható formátumúak (például JWT) vagy rejtett, opaque formában is.

Fő elemei a tokenek, a kibocsátó (általában egy hitelesítő szerver vagy authorization server), és a cél erőforrásokat szolgáltató erőforrás-szerver. A tokeneknek gyakran van élettartamuk, és tartalmazhatnak jogköröket (scopes) vagy állításokat (claims). A leggyakoribb típusok az access tokenek, amelyek a hozzáférést adják, és a refresh tokenek, amelyek új hozzáférési token megszerzésére szolgálnak a felhasználó újrahitelesítése nélkül.

Protokollok és keretrendszerek: a legelterjedtebbek az OAuth 2.0 és az OpenID Connect, amelyek a hitelesítést és a jogosultság-ellenőrzést szabályozzák. Korábbi megoldások között szerepel a SAML. A gyakorlati működés során a kliens az Authorization: Bearer alapon küldi a tokent a kért erőforrás felé, amely vagy aláírt JWT-t, vagy token-típusú ellenőrzést végez.

Biztonság és kihívások: a tokenek ellophatók, ezért fontos a TLS használata, rövid élettartamú tokenek alkalmazása, megbízható tárolás a kliensen, PKCE használata nyilvános kliensek esetén, és szükség esetén token-vonatkozású visszavonás vagy lejáratás kezelése.

Előnyök és korlátok: lehetővé teszi a szerveroldali állapotmentes működést és könnyebb API-hozzáférést, különösen mikroszolgáltatások és mobilalkalmazások esetén. Hátrányai közé tartozik a tokenek biztonságos kezelése és a visszavonás bonyolultsága, ha nem megfelelően tervezik meg a megoldást.

Példák: Google OAuth és OpenID Connect megoldásokban széles körben használt JWT-alapú tokenek. A tokenalapú megközelítés az egyes alkalmazások és API-k közötti biztonságos és skálázható hozzáférés alapját képezi.