رمز وصول OAuth ليس قرار تفويض حاليًا

الخلاصة

• الرمز يسجل تفويضًا سابقًا ولا يعيد بالضرورة اتخاذ القرار الحالي.
• يجب أن يربط الدليل بين التحقق والحالة الحالية ومعرّف السياسة السارية وحدّ صلاحية القرار.

إذا سُحبت صلاحية مستخدم، فقد تواصل واجهة البرمجة قبول رمز حامل صدر قبل ذلك بدقائق، مرة بعد مرة حتى انتهاء صلاحيته. وقد يظل التوقيع صحيحًا، ويطابق الرمز المورد المقصود، ولم يحن موعد انتهائه بعد. لكن تسجيل كل قبول متكرر في سجل التدقيق بوصفه «مفوّضًا» يخلط بين التحقق من الاعتماد واتخاذ قرار تفويض حالي.

يعرّف RFC 6749 رمز الوصول بوصفه اعتمادًا يمثل نطاق الوصول ومدته، وقد يكون مرجعًا معتمًا أو رمزًا يحمل بياناته داخله. ويحدد RFC 7009 آلية الإلغاء مع الإقرار بتأخر وصول معلوماته إلى بعض الخوادم. ويتيح RFC 7662 لخادم المورد الاستعلام عن سريان الرمز وبياناته الملائمة. لكن الاحتفاظ المؤقت بإجابة إيجابية قد يمدد العمل بقرار سابق.

ليس الاستعلام إلزاميًا في كل بنية. تعني active تقييم خادم التفويض للرمز في سياق المورد السائل، ولا تثبت هوية الشخص أو ملكية الجهاز أو كل صلاحية تقررها سياسة العمل. وقد يمتد الإلغاء، بحسب السياسة، إلى رموز مرتبطة أو إلى المنحة الأصلية. ويحدد زمن الانتشار والتخزين المؤقت وهامش الساعة والاعتماد على خادم التفويض مدة الخطر الفعلية.

يجيب التحقق المحلي والاستعلام عن الحالة عن سؤالين مختلفين: الأول يفحص الرمز المعروض، والثاني يسأل سلطة التفويض عن حالته الراهنة. وتتطلب العمليات عالية الأثر دليلاً أحدث من عمليات القراءة العادية. كما يجب احتساب النتائج المؤقتة لقرارات التفويض في البوابات والتطبيقات وقياس السلسلة كاملة: الإصدار، وانتشار الإلغاء، والتحقق المحلي أو الاستعلام، ثم قرار خادم المورد الحالي.

لا يثبت قصر مدة صلاحية الرمز أن الحساب أو الدور أو السياسة لم يتغير. ويجب أن يتضمن سجل قرار السماح بصمة غير سرية للرمز، والجهة المصدرة، والعميل، ومعرّف صاحب الرمز، والمورد المقصود، ونطاقات الوصول، ووقتي الإصدار والانتهاء، وطريقة التحقق، ونتيجة الإلغاء أو الاستعلام، ومعرّف السياسة السارية، ووقت قرار خادم المورد، وأقصى مدة للاحتفاظ بنتيجة الاستعلام. وبذلك يبيّن السجل سبب قبول الطلب في ذلك الوقت.