Kaip aprašote autorizaciją tarp paslaugų API specifikacijoje? Kokius protokolus naudojate?

API specifikacijoje tarp paslaugų autorizacija paprastai aprašoma naudojant standartinius saugumo schemas, kuriuos palaiko OpenAPI ar kitos specifikacijos. Aprašyme nurodau:

• autorizacijos tipą (pvz., OAuth 2.0, API raktas, JWT)
• vietą, kur perduodamas tokenas (Authorization antraštė, užklausos parametras ir kt.)
• tokeno formatą ir reikalingas teises (scopes)

Dažnai naudoju šiuos protokolus:

• OAuth 2.0 — deleguota autorizacija su prieigos tokenais, ypač jei paslaugos priklauso skirtingoms domenoms ar organizacijoms.
• JWT (JSON Web Token) — informacijos perdavimas apie vartotoją ir teises šifruotoje formoje.
• API raktai — paprastais atvejais, kai reikia identifikuoti paslaugą be sudėtingos autentifikacijos.

OpenAPI pavyzdys:

components:
  securitySchemes:
    bearerAuth:
      type: http
      scheme: bearer
      bearerFormat: JWT
security:
  - bearerAuth: []

Tai leidžia klientams ir paslaugoms suprasti, kaip perduoti tokenus ir kokios teisės reikalingos.