Расскажи о процессе авторизации в API и методах, которые используются для этого.

Авторизация в API — это проверка прав доступа клиента к ресурсам сервера. Основные методы авторизации:

1. Basic Authentication:

   • Передача логина и пароля, закодированных в Base64, в заголовке Authorization.
   • Простой, но небезопасный (пароль передается, хоть и закодированный). Требует HTTPS.

   http

2. API Key:

   • Передача уникального ключа, сгенерированного сервером, в заголовке HTTP (например, X-API-Key) или как параметр запроса (?apiKey=...).
   • Просто в реализации, но ключ может быть перехвачен. Не предоставляет информации о пользователе.

   http

   http

3. OAuth 2.0:

   • Протокол авторизации, позволяющий сторонним сервисам получать ограниченный доступ к данным пользователя без передачи его учетных данных.
   • Использует токены (access token, refresh token).
   • Различные потоки (authorization code, implicit, client credentials, resource owner password credentials) для разных сценариев.
   • Более сложный, но безопасный и гибкий.

   Процесс (для authorization code flow):

   • Клиент перенаправляет пользователя на сервер авторизации.
   • Пользователь предоставляет согласие.
   • Сервер авторизации перенаправляет пользователя обратно клиенту с кодом авторизации.
   • Клиент обменивает код авторизации на access token (и refresh token) на сервере авторизации.
   • Клиент использует access token для доступа к ресурсам на resource server.

   http

4. JWT (JSON Web Tokens):

   • Самодостаточные токены, содержащие информацию о пользователе и его правах в виде JSON объекта, подписанного криптографически.
   • OAuth 2.0 часто использует JWT в качестве формата access token.
   • Сервер может проверить подпись токена без обращения к базе данных.
   • Токены могут устаревать (используется refresh token для получения нового access token).

   json

5. Session-based Authentication:

   • После успешного входа сервер создает сессию, хранимую на сервере, и отправляет клиенту идентификатор сессии (Session ID) в виде cookie.
   • Клиент отправляет Session ID с каждым последующим запросом в cookie.
   • Менее подходит для распределенных API (микросервисов), так как требует "липких" сессий или общего хранилища сессий.

   http

Выбор метода зависит от требований безопасности, типа клиента (браузер, мобильное приложение, сервер), необходимости предоставления сторонним сервисам доступа и сложности реализации. Наиболее распространенным и безопасным подходом для современных API является использование OAuth 2.0 с JWT.