Kuidas kirjeldaksite autoriseerimist teenuste vahel API spetsifikatsioonis? Milliseid protokolle kasutate?

API spetsifikatsioonis on teenuste vahelise autoriseerimise tavaliselt kirjeldatud standardsete turvaskeemade abil, mida toetab OpenAPI või teised spetsifikatsioonid. Kirjelduses näitan:

• Autoriseerimise tüüpi (näiteks OAuth 2.0, API võti, JWT)
• Kohta, kus token edastatakse (Authorization päis, päringuparameeter jne)
• Tokeni formaati ja vajalikke õigusi (scopes)

Sageli kasutan järgmisi protokolle:

• OAuth 2.0 — volitatud juurdepääsuga tokenitega, eriti kui teenused kuuluvad erinevatele domeenidele või organisatsioonidele.
• JWT (JSON Web Token) — teabe edastamiseks kasutaja ja õiguste kohta krüpteeritud kujul.
• API võtmed — lihtsates olukordades, kui on vaja teenust identifitseerida ilma keerulise autentimiseta.

OpenAPI näide:

components:
  securitySchemes:
    bearerAuth:
      type: http
      scheme: bearer
      bearerFormat: JWT
security:
  - bearerAuth: []

See võimaldab klientidel ja teenustel mõista, kuidas tokeneid edastada ja milliseid õigusi on vaja.