Hoe beschrijf je de autorisatie tussen services in de API-specificatie? Welke protocollen gebruik je?

De autorisatie tussen services in de API-specificatie wordt meestal beschreven met behulp van standaard beveiligingsschema's die worden ondersteund door OpenAPI of andere specificaties. In de beschrijving geef ik aan:

• Type autorisatie (bijvoorbeeld OAuth 2.0, API-sleutel, JWT)
• Plaats van tokenoverdracht (Authorization-header, query-parameter, enz.)
• Formaat van de token en benodigde rechten (scopes)

Ik gebruik vaak de volgende protocollen:

• OAuth 2.0 — voor gedelegeerde autorisatie met toegangstokens, vooral als services tot verschillende domeinen of organisaties behoren.
• JWT (JSON Web Token) — voor het overdragen van informatie over de gebruiker en rechten in versleutelde vorm.
• API-sleutels — voor eenvoudige gevallen waarin een service zonder complexe authenticatie moet worden geïdentificeerd.

Voorbeeld in OpenAPI:

components:
  securitySchemes:
    bearerAuth:
      type: http
      scheme: bearer
      bearerFormat: JWT
security:
  - bearerAuth: []

Dit stelt clients en services in staat te begrijpen hoe tokens moeten worden overgedragen en welke rechten nodig zijn.