پروتکل OAuth 2.1 چیست؟#

وقتی در یک بازی موبایلی دکمه «ورود با حساب گوگل» را می‌زنید بدون اینکه پسورد جیمیل خود را به بازی بدهید، از OAuth استفاده می‌کنید. نسخه ۲.۱ جریان‌های ناامن قدیمی مانند Implicit Grant و Resource Owner Password Credentials را کاملاً منسوخ و حذف کرده و مکانیزم امنیتی PKCE را برای جلوگیری از سرقت کدهای مجوز اجباری ساخته است.

یک تشبیه روزمره#

کلید موقت مستخدم در خودروهای لوکس (Valet Key)؛ کلیدی مخصوص که فقط در ماشین را باز می‌کند و به راننده هتل اجازه پارک می‌دهد، اما اجازه باز کردن داشبورد قفل‌شده یا صندوق عقب را ندارد.

مهم‌ترین تغییرات OAuth 2.1#

  • اجباری شدن پروتکل PKCE برای تمام کلاینت‌های عمومی و محرمانه
  • حذف جریان‌های دارای ریسک سرقت توکن از طریق URL Fragment
  • الزام استفاده از آدرس‌های بازگشت (Redirect URI) کاملاً دقیق و انطباقی