OAuth — это открытый стандарт авторизации. Он позволяет пользователю предоставить стороннему приложению ограниченный доступ к своим данным, хранящимся на другом сервисе (ресурсном сервере), без необходимости передавать свои учетные данные (логин/пароль) этому приложению.

Работа OAuth основана на выдаче "токенов доступа" вместо учетных данных. Типичный flow работы выглядит следующим образом:

Запрос авторизации: Пользователь пытается выполнить действие в стороннем приложении, которое требует доступа к данным из ресурсного сервера. Приложение инициирует запрос авторизации к авторизационному серверу ресурсного сервера.
Перенаправление на авторизационный сервер: Пользователь перенаправляется на страницу авторизационного сервера.
Аутентификация пользователя: Пользователь аутентифицируется на авторизационном сервере (если еще не аутентифицирован).
Согласие пользователя (Consent): Авторизационный сервер запрашивает у пользователя разрешение на предоставление стороннему приложению определенного уровня доступа к его данным (скоупы). Пользователь либо соглашается, либо отклоняет запрос.
Выдача кода авторизации: Если пользователь согласен, авторизационный сервер перенаправляет пользователя обратно в стороннее приложение, предоставляя "код авторизации".
Обмен кода авторизации на токен доступа: Стороннее приложение, получив код авторизации, делает запрос непосредственно к авторизационному серверу для обмена этого кода на "токен доступа" (Access Token) и опционально "токен обновления" (Refresh Token). Этот запрос происходит между серверами, минуя браузер пользователя, что повышает безопасность.
Доступ к данным: Стороннее приложение использует полученный токен доступа для выполнения запросов к ресурсному серверу от имени пользователя. При каждом таком запросе токен доступа отправляется в заголовке.
Валидация токена: Ресурсный сервер валидирует токен доступа и, если он действителен и соответствует запрошенным скоупам, предоставляет доступ к данным.

OAuth имеет несколько потоков (flows), подходящих для разных сценариев, например:

Authorization Code Flow: Наиболее безопасный, используется для веб-приложений с серверной частью.
Implicit Flow: Устаревший, использовался для веб-приложений без серверной части.
Client Credentials Flow: Для приложений, получающих доступ к собственным ресурсам, а не пользовательским.
Resource Owner Password Credentials Flow: Не рекомендуется, передача пользовательских учетных данных приложению.

(Пример Authorization Code Flow)

В C# для реализации OAuth в веб-приложениях часто используются библиотеки, такие как ASP.NET Core Identity с различными провайдерами (Google, Facebook и т.д.), или библиотеки IdentityServer для создания собственного сервера авторизации.

Что такое аутентификация OAuth и как она работает?