Jak popisujete autorizaci mezi službami v specifikaci API? Jaké protokoly používáte?

Autorizace mezi službami v specifikaci API je obvykle popsána pomocí standardních bezpečnostních schémat podporovaných OpenAPI nebo jinými specifikacemi. V popisu uvádím:

• Typ autorizace (například OAuth 2.0, API klíč, JWT)
• Místo přenosu tokenu (hlavička Authorization, parametr dotazu atd.)
• Formát tokenu a potřebná práva (scopes)

Často používám následující protokoly:

• OAuth 2.0 — pro delegovanou autorizaci s přístupovými tokeny, zejména pokud služby patří různým doménám nebo organizacím.
• JWT (JSON Web Token) — pro přenos informací o uživateli a právech ve zašifrované podobě.
• API klíče — pro jednoduché případy, kdy je třeba identifikovat službu bez složité autentifikace.

Příklad v OpenAPI:

components:
  securitySchemes:
    bearerAuth:
      type: http
      scheme: bearer
      bearerFormat: JWT
security:
  - bearerAuth: []

To umožňuje klientům a službám pochopit, jak předávat tokeny a jaká práva jsou požadována.