Kako opisujete autorizaciju između servisa u specifikaciji API? Koje protokole koristite?

Autorizacija između servisa u specifikaciji API obično se opisuje pomoću standardnih sigurnosnih šema koje podržava OpenAPI ili druge specifikacije. U opisu navodim:

• Tip autorizacije (npr. OAuth 2.0, API ključ, JWT)
• Mesto prenosa tokena (zaglavlje Authorization, query parametar itd.)
• Format tokena i potrebna prava (scopes)

Često koristim sledeće protokole:

• OAuth 2.0 — za delegiranu autorizaciju sa tokenima pristupa, posebno ako servisi pripadaju različitim domenima ili organizacijama.
• JWT (JSON Web Token) — za prenos informacija o korisniku i pravima u šifrovanom obliku.
• API ključevi — za jednostavne slučajeve kada je potrebno identifikovati servis bez složene autentifikacije.

Primer u OpenAPI:

components:
  securitySchemes:
    bearerAuth:
      type: http
      scheme: bearer
      bearerFormat: JWT
security:
  - bearerAuth: []

Ovo omogućava klijentima i servisima da razumeju kako da prenose tokene i koja prava su potrebna.