Hogyan írja le az autorizációt a szolgáltatások között az API specifikációban? Milyen protokollokat használ?

Az API specifikációban a szolgáltatások közötti hitelesítést általában az OpenAPI vagy más specifikációk által támogatott biztonsági sémák segítségével írják le. A leírásban megadom:

• A hitelesítés típusa (pl. OAuth 2.0, API kulcs, JWT)
• A token átadásának helye (Authorization fejléc, lekérdezési paraméter stb.)
• A token formátuma és a szükséges jogok (scope-ok)

Gyakran használom a következő protokollokat:

• OAuth 2.0 — delegált hozzáférés tokenekkel, különösen, ha a szolgáltatások különböző domainekhez vagy szervezetekhez tartoznak.
• JWT (JSON Web Token) — az információk titkosított formában történő továbbítására a felhasználóról és a jogokról.
• API kulcsok — egyszerű esetekben, amikor a szolgáltatást összetett hitelesítés nélkül kell azonosítani.

OpenAPI példa:

components:
  securitySchemes:
    bearerAuth:
      type: http
      scheme: bearer
      bearerFormat: JWT
security:
  - bearerAuth: []

Ez lehetővé teszi az ügyfelek és a szolgáltatások számára, hogy megértsék, hogyan kell átadni a tokeneket, és milyen jogokra van szükség.