Cos'è l'autenticazione OAuth e come funziona?

OAuth è uno standard aperto di autorizzazione. Consente a un utente di concedere a un'applicazione di terze parti un accesso limitato ai propri dati, memorizzati su un altro servizio (server delle risorse), senza dover condividere le proprie credenziali (nome utente/password).

Il funzionamento di OAuth si basa sull'emissione di "token di accesso" invece di credenziali. Il flusso tipico è il seguente:

Richiesta di autorizzazione: L'utente tenta di eseguire un'azione in un'applicazione di terze parti che richiede l'accesso ai dati del server delle risorse. L'applicazione avvia una richiesta di autorizzazione al server di autorizzazione del server delle risorse.
Reindirizzamento al server di autorizzazione: L'utente viene reindirizzato alla pagina del server di autorizzazione.
Autenticazione dell'utente: L'utente si autentica sul server di autorizzazione (se non già fatto).
Consenso dell'utente: Il server di autorizzazione chiede all'utente il permesso di concedere all'app di terze parti un certo livello di accesso ai suoi dati (scope). L'utente accetta o rifiuta.
Emissione del codice di autorizzazione: Se l'utente acconsente, il server di autorizzazione reindirizza l'utente indietro all'app di terze parti, fornendo un "codice di autorizzazione".
Scambio del codice di autorizzazione con un token di accesso: L'app di terze parti, dopo aver ricevuto il codice di autorizzazione, effettua una richiesta direttamente al server di autorizzazione per scambiare il codice con un "token di accesso" e opzionalmente un "token di aggiornamento". Questa richiesta avviene tra server, evitando il browser dell'utente, aumentando la sicurezza.
Accesso ai dati: L'app di terze parti utilizza il token di accesso ottenuto per effettuare richieste al server delle risorse a nome dell'utente. Ogni richiesta include il token nell'intestazione.
Validazione del token: Il server delle risorse valida il token di accesso e, se valido e corrispondente agli scope richiesti, concede l'accesso ai dati.

OAuth ha diversi flussi (flows), adatti a scenari diversi, ad esempio:

Authorization Code Flow: Il più sicuro, usato per applicazioni web con backend.
Implicit Flow: Obsoleto, usato per applicazioni web senza backend.
Client Credentials Flow: Per applicazioni che accedono alle proprie risorse, non a quelle dell'utente.
Resource Owner Password Credentials Flow: Non raccomandato, trasmette le credenziali dell'utente all'app.

(Esempio di Authorization Code Flow)

In C#, per implementare OAuth nelle applicazioni web, si usano spesso librerie come ASP.NET Core Identity con diversi provider (Google, Facebook, ecc.) o librerie come IdentityServer per creare un proprio server di autorizzazione.