Resumo

  • O token registra delegação anterior; não refaz necessariamente a decisão atual.
  • O aceite precisa ligar credencial, estado vigente, política e limite de vigência.

Se uma permissão é removida, a API ainda pode aceitar repetidamente, até a expiração, um token emitido pouco antes. A assinatura e o público-alvo podem estar corretos, e o prazo pode não ter vencido. Ainda assim, registrar cada aceite repetido como “autorizado” confunde a validação da credencial com uma decisão atual de autorização.

RFC 6749 define o token como credencial de escopo e duração; ele pode ser opaco ou autocontido. RFC 7009 define revogação, mas admite atraso de propagação. RFC 7662 permite que o recurso consulte o estado ativo e metadados apropriados. Cachear uma resposta positiva, porém, prolonga a decisão antiga.

A introspecção não é obrigatória em toda arquitetura. active representa a avaliação do servidor de autorização para o recurso que faz a consulta; não comprova a identidade da pessoa, a propriedade do dispositivo nem todas as permissões definidas pelas regras de negócio. Conforme a política, a revogação pode alcançar tokens relacionados ou a concessão original. Propagação, cache, tolerância de relógio e dependência do servidor compõem a janela efetiva.

A validação local e a consulta de estado respondem a perguntas diferentes: a primeira verifica o token apresentado; a segunda pergunta à autoridade sobre o estado atual. Uma operação de alto impacto exige evidência mais recente que uma leitura comum. O limite também deve incluir caches de autorização em gateways e aplicações e medir a cadeia completa: emissão, propagação da revogação, validação local ou introspecção e decisão atual do servidor de recursos.

Uma expiração curta reduz a exposição, mas não prova que conta, função ou política permaneceram aceitáveis. O registro da decisão deve conter a impressão digital não secreta do token, emissor, cliente, sujeito pertinente, público-alvo, escopos, horários de emissão e expiração, método de validação, estado de revogação ou introspecção, identificador da política vigente, horário da decisão do servidor de recursos e tempo máximo de cache. Assim fica claro qual evidência tornou o aceite razoável naquele momento.