Ako popisujete autorizáciu medzi službami v špecifikácii API? Aké protokoly používate?

Autorizácia medzi službami v špecifikácii API sa zvyčajne opisuje pomocou štandardných schém bezpečnosti podporovaných OpenAPI alebo inými špecifikáciami. V opise uvádzam:

• Typ autorizácie (napríklad OAuth 2.0, API kľúč, JWT)
• Miesto prenosu tokenu (hlavička Authorization, parametra dotazu atď.)
• Formát tokenu a potrebné práva (scopes)

Často používam nasledujúce protokoly:

• OAuth 2.0 — na delegovanú autorizáciu s prístupovými tokenmi, najmä ak služby patria rôznym doménam alebo organizáciám.
• JWT (JSON Web Token) — na prenos informácií o používateľovi a právach v zašifrovanej podobe.
• API kľúče — pre jednoduché prípady, keď je potrebné identifikovať službu bez zložitej autentifikácie.

Príklad v OpenAPI:

components:
  securitySchemes:
    bearerAuth:
      type: http
      scheme: bearer
      bearerFormat: JWT
security:
  - bearerAuth: []

Toto umožňuje klientom a službám pochopiť, ako prenášať tokeny a aké práva sú požadované.