Was sind die Kompromisse zwischen dem impliziten Grant-Flow und dem Autorisierungscode-Flow?

1 Funktionsweise des impliziten Grant-Flows

Beim Ablauf der impliziten Gewährung leitet die Anwendung den Benutzer an den Autorisierungsserver weiter, wo sich der Benutzer authentifiziert und der Anwendung die Zustimmung erteilt. Der Autorisierungsserver gibt dann über das URL-Fragment des Browsers ein Zugriffstoken direkt an die Anwendung zurück. Die Anwendung kann das Zugriffstoken verwenden, um vom Ressourcenserver aus auf die geschützten Ressourcen zuzugreifen. Es gibt keinen Zwischenschritt, bei dem ein Autorisierungscode gegen ein Zugriffstoken ausgetauscht wird, wie beim Autorisierungscodefluss.

3 Nachteile des impliziten Grant-Flows

Der implizite Grant-Flow hat jedoch auch einige erhebliche Nachteile, die seine Sicherheit und Funktionalität einschränken. Einer der Hauptnachteile besteht darin, dass das Zugriffstoken im URL-Fragment des Browsers verfügbar gemacht wird, auf das Skripts, Browsererweiterungen oder andere Parteien zugreifen können, die den Browserverkehr abfangen können. Das Zugriffstoken kann auch über den Browserverlauf, Lesezeichen oder Referrer-Header durchsickern. Ein weiterer Nachteil ist, dass das Zugriffstoken nicht aktualisiert werden kann, was bedeutet, dass die Anwendung bei Ablauf ein neues anfordern muss, was die Benutzererfahrung unterbrechen kann. Der implizite Grant-Flow unterstützt auch nicht PKCE (Proof Key for Code Exchange), bei dem es sich um einen Mechanismus handelt, der das Abfangen von Autorisierungscode verhindert.

4 Wann sollte der implizite Grant-Flow verwendet werden?

Der implizite Grant-Flow eignet sich für Anwendungen, die über einen kurzlebigen und begrenzten Zugriffsbereich auf die geschützten Ressourcen verfügen und keine sensiblen oder vertraulichen Daten verarbeiten. Der implizite Grant-Flow kann beispielsweise für Anwendungen verwendet werden, die öffentliche Informationen aus einer Drittanbieter-API anzeigen, z. B. Social-Media-Feeds oder Wettervorhersagen. Der Ablauf der impliziten Gewährung ist auch mit älteren OAuth 2.0-Implementierungen kompatibel, die andere Abläufe nicht unterstützen.

6 Vorteile des Autorisierungscodeflusses

Einer der Hauptvorteile des Autorisierungscodeflusses besteht darin, dass er sicherer und zuverlässiger ist. Das Zugriffstoken und das Aktualisierungstoken werden niemals in der URL des Browsers offengelegt, wodurch das Risiko von Datenlecks oder Diebstahl verringert wird. Die Anwendung kann PKCE auch verwenden, um Angriffe auf das Abfangen von Autorisierungscode zu verhindern, wodurch die Sicherheit des Datenflusses erhöht wird. Ein weiterer Vorteil besteht darin, dass die Anwendung ein Aktualisierungstoken abrufen kann, das es ihr ermöglicht, einen langfristigen und ununterbrochenen Zugriff auf die geschützten Ressourcen aufrechtzuerhalten, ohne dass sich der Benutzer erneut authentifizieren oder zustimmen muss.

7 Nachteile des Autorisierungscodeflusses

Der Autorisierungscodefluss hat jedoch auch einige Nachteile, die die Komplexität und den Overhead erhöhen. Einer der Hauptnachteile besteht darin, dass die Anwendung eine zusätzliche Anforderung an den Autorisierungsserver stellen muss, um den Autorisierungscode gegen ein Zugriffstoken auszutauschen, was die Latenz und die Netzwerklast erhöht. Ein weiterer Nachteil besteht darin, dass die Anwendung ihre Client-Anmeldeinformationen speichern und übertragen muss, was das Risiko erhöht, sie zu kompromittieren, wenn der Back-End-Server nicht sicher ist. Für den Autorisierungscodefluss ist auch ein Back-End-Server erforderlich, was die Anwendungsarchitektur und -bereitstellung erschwert.