O que são refresh token, access tokens e grant type? – segurança token

Pergunta:


Estava pesquisando sobre segurança em APIs REST e encontrei os termos refresh tokens, access tokens e grant type se referindo a forma como os tokens funcionam e como o cliente solicita os recursos

O que são e quais as suas diferenças?

Autor da pergunta Guilherme Costamilam

Access Tokens – É um tipo de credencial que você pode utilizar para dar permissão
a sistemas externos interagirem com a sua aplicação. Como você bem citou por exemplo,
seu conjunto de APIs Rest só poderiam ser consumidas por meio de um identificador que
você mesmo oferece para seus sistemas parceiros. Esse ID é o Access Token. Um exemplo
prático disso, é quando você precisa consumir alguma API do Google/Facebbok.

Refresh Tokens – Ocasionalmente, você pode querer verificar de tempos em tempos o ID
(Access Token) que aquele sistema que está consumindo a sua API possui. Pode ser por
motivos de segurança, monetização da sua API ou mesmo a frequência de uso da api. Funciona da seguinte forma: Você dá para o seu parceiros 2 chaves: 1) O Access Token
(com tempo de vida curto) e 2) O Refresh Token (Usado para pegar um novo Access Token).
Dessa forma, quando o seu parceiro requisitar a sua aplicação, ele envia essas 2 chaves
e o seu sistema verifica se o Access Token está expirado. Caso esteja, você gera um
novo Access Token usando o Refresh Token que o parceiro lhe enviou.

Grant Types – Quando você ouvir esse termo, referece-se as maneiras que um sistema
externo possui para obter acesso a um Access Token para consumo da sua API. Podendo ser eles:

  1. Authorization code
  2. Implicit
  3. Resource owner credentials
  4. Client credentials
  5. Refresh token

Todos esses conceitos da sua pergunta, fazem parte da especificação do OAuth 2.0 e você
pode obter mais detalhes aqui (OAuth 2.0 Docs) e aqui (OAuth 2.0 Workflow Vídeo).

Access tokens são credenciais usadas para acessar recursos protegidos.

Refresh tokens são credenciais usadas para obter um novo acess token.

Grant type é usado quando o cliente quer receber access token sem transmitir informações importantes, como o client secret.

Access tokens e Refresh tokens

Grant type

Fonte

Related Posts:

Qual a diferença entre AppCompatActivity e Activity? – android android-activity
Pergunta: Qual a diferença da AppCompatActivity para Activity ? A partir de qual versão a AppCompatActivity foi adicionada ao Android? Autor da pergunta Luhhh A diferença reside ...
Como abreviar palavras em PHP? – php string
Pergunta: Possuo informações comuns como nome de pessoas e endereços, e preciso que elas contenham no máximo 30 caracteres sem cortar palavras. Exemplo: 'Avenida Natalino João Brescansin' ...
Qual é a finalidade de um parêntese vazio numa declaração Lambda? – c# expressões-lambda característica-linguagem
Pergunta: Criei um exemplo de uma declaração Lambda sem argumentos, entretanto, estou com duvidas referente a omissão do parêntese vazio () na declaração. Veja o exemplo: class ...
Boas práticas para URI em API RESTful – api rest restful
Pergunta: Estou com dúvida em relação às URIs de alguns recursos da api que estou desenvolvendo. Tenho os recursos projetos e atividades com relação 1-N, ...
Dúvidas sobre a integração do MySQL com Java – java mysql netbeans
Pergunta: Estou criando um sistema no NetBeans, utilizando a linguagem Java e o banco de dados MySQL. Escrevi o seguinte código para realizar a conexão ...
Qual é a finalidade da pasta Model do framework Inphinit? – php inphinit
Pergunta: No Inphinit micro-framework existe a pasta Model que fica dentro da pasta application, e nela é onde ficam as classes, mas eu estou muito ...
Uso do ‘@’ em variáveis – javascript typescript coffeescript
Pergunta: Vejo em algumas linguagens que compilam para javascript, como TypeScript e CoffeeScript, o uso do @ em variáveis, como também, casos em que o ...
Qual tamanho máximo um arquivo JSON pode ter? – json arquivo
Pergunta: Vou dar um exemplo para conseguir explicar minha duvida: Preciso recuperar informação de imagens vindas de uma API, esse banco de imagens me retorna JSON's ...
O que é Teste de Regressão? – terminologia engenharia-de-software testes
Pergunta: Na matéria de Teste de Software o professor abordou um termo chamado Teste de Regressão, isto dentro da disciplina de teste de software. Sendo ...
O que é um construtor da linguagem? – php característica-linguagem
Pergunta: Em PHP, já li e ouvi várias vezes a respeito dos Construtores da Linguagem. Os casos que sempre ouvi falar deles foi em casos ...
Função intrínseca para converter numérico para string – cobol
Pergunta: Estou a tentar saber se existe alguma função intrínseca do COBOL para converter um data numérico para string sem precisar usar a cláusula REDEFINES: ( ...
Porque usar implements? – java android
Pergunta: Qual a diferença entre usar btn.setOnClickListener(new OnClickListener() { e public class MainActivity extends Activity implements OnClickListener{ Estive fazendo um curso de Android e meu professor falou que ...
O que é XHTML e quando deve ser usado? – html xml xhtml
Pergunta: O que eu sei é que o XHTML precisa ser XML válido. Isso implica, por exemplo, que todas as tags precisam ser fechadas. Por ...
Uma placa aceleradora de vídeo pode melhorar o desempenho não-gráfico? [fechada] – desempenho
Pergunta: Para desenvolver em Ruby on Rails, eu utilizo aqui uma máquina virtual do VirtualBox com Ubuntu Server 14.04 sem interface gráfica instalada. Recentemente descobri uma ...
Concat() VS Union() – c# .net
Pergunta: Qual a diferença entre Concat() e Union() ? Quando usar Concat() e quando usar Union() ? Somente pode ser usado em list ? ...

Deixe uma resposta

O seu endereço de email não será publicado. Campos obrigatórios marcados com *