Kā jūs aprakstāt autorizāciju starp pakalpojumiem API specifikācijā? Kādas protokolus izmantojat?

API specifikācijā starp pakalpojumiem parasti apraksta ar standarta drošības shēmām, kuras atbalsta OpenAPI vai citas specifikācijas. Aprakstā es norādu:

• Autorizācijas veidu (piemēram, OAuth 2.0, API atslēga, JWT)
• Vietu, kurā tiek nodots tokens (Authorization galvene, pieprasījuma parametrs utt.)
• Tokena formātu un nepieciešamās tiesības (scopes)

Bieži izmantoju šādus protokolus:

• OAuth 2.0 — deleģēta autorizācija ar piekļuves tokeniem, īpaši, ja pakalpojumi pieder dažādām domēniem vai organizācijām.
• JWT (JSON Web Token) — informācijas pārraidīšana par lietotāju un tiesībām šifrētā veidā.
• API atslēgas — vienkāršos gadījumos, kad ir nepieciešams identificēt pakalpojumu bez sarežģītas autentifikācijas.

OpenAPI piemērs:

components:
  securitySchemes:
    bearerAuth:
      type: http
      scheme: bearer
      bearerFormat: JWT
security:
  - bearerAuth: []

Tas ļauj klientiem un pakalpojumiem saprast, kā nodot tokenus un kādas tiesības ir nepieciešamas.