SuperApp:Authorization mechanism when calling API operations

Regras básicas

A Application Open Platform fornece recursos e serviços aos desenvolvedores por meio de operações de API no lado do servidor. Os desenvolvedores só podem ler e gravar informações do usuário após ele conceder as permissões correspondentes. O protocolo Open Authorization (OAuth) 2.0 concede aos desenvolvedores permissão para ler e gravar informações do usuário em miniapps, o que permite o acesso a dados básicos e comerciais.

OAuth 2.0

O OAuth 2.0 é um framework de autorização padrão do setor para APIs RESTful. Ele permite conceder a uma aplicação de terceiros acesso aos recursos do usuário sem expor as credenciais da conta. Como o OAuth 2.0 se baseia em tokens, as aplicações obtêm acesso limitado aos dados do usuário sem manipular a senha, separando a autenticação da autorização.

Termos do OAuth 2.0

• Aplicação de terceiros: Também chamada de cliente. Aplicações que solicitam acesso aos recursos do usuário em nome do proprietário do recurso.

• Proprietário do recurso: Usuário que controla o recurso protegido e pode conceder acesso a ele.

• Serviço HTTP: Provedor de serviços que possui o servidor de recursos e fornece as informações do usuário.

• Servidor de autorização: Servidor que autentica o proprietário do recurso e emite tokens de acesso para o cliente.

• Servidor de recursos: Servidor que armazena os recursos gerados pelo usuário e responde a solicitações de recursos protegidos com tokens de acesso. O servidor de recursos e o servidor de autorização podem executar no mesmo nó físico, mas ocupam nós lógicos diferentes.

• Agente de usuário: Geralmente um navegador.

• Credenciais do cliente: ID do cliente, senha e código de autorização usados para autenticar usuários.

• Token de acesso: Token emitido pelo servidor de autorização após o proprietário do recurso conceder acesso. O cliente usa esse token para solicitar recursos protegidos.

• Token de atualização: Token de longa duração usado para obter um novo token de acesso quando o atual expira, sem exigir nova autorização do usuário.

Tipos de concessão para obtenção de tokens no OAuth 2.0

O cliente só obtém um token depois que o usuário concede as permissões correspondentes. O OAuth 2.0 define quatro tipos de concessão para emitir tokens a uma aplicação de terceiros:

• Concessão por código de autorização: Método mais comum e seguro. Suporta atualização de token.

• Concessão implícita: Projetada para aplicações baseadas em navegador. Não suporta atualização de token.

• Concessão por credenciais de senha do proprietário do recurso: Indicada para sistemas legados. Suporta atualização de token.

• Concessão por credenciais do cliente: Destinada a serviços de API (comunicação entre máquinas). Não suporta atualização de token.

Para cenários de miniapp, use a concessão por código de autorização. As demais concessões servem apenas como referência.

Procedimento de autorização com OAuth

Em cenários de miniapp, a concessão por código de autorização delega as permissões de recursos do usuário a uma aplicação de terceiros. A figura a seguir ilustra o fluxo completo de autorização.

A tabela abaixo mapeia as funções do OAuth 2.0 para os serviços em um miniapp:

Autorizar um comerciante a chamar uma operação de API

A figura a seguir mostra como autorizar um comerciante a chamar uma operação de API.