NHÀ PHÁT TRIỂN

Ứng dụng khách OAuth 2.1 / OIDC

Dùng Authorization Code + PKCE cho ứng dụng khách có người dùng; chỉ dùng thông tin xác thực bí mật trong backend được bảo vệ, xin phạm vi tối thiểu và kiểm soát vòng đời token.

01 / KHÁI NIỆM

Hợp đồng tích hợp

Loại ứng dụng khách

Ứng dụng khách công khai (public client) không lưu giữ khóa bí mật an toàn; ứng dụng khách bảo mật (confidential client) bảo vệ thông tin xác thực trong backend/workload.

Luồng ủy quyền

Authorization Code + PKCE kèm tham số state; với OIDC, xác thực issuer, audience và nonce khi áp dụng.

Vòng đời token

Access token ngắn hạn, refresh token được bảo vệ và có thể thu hồi; không ghi bearer token vào nhật ký.

URI chuyển hướng

Khớp chính xác URI đã đăng ký trong môi trường vận hành chính thức; tránh chuyển hướng mở (open redirect) và host dạng wildcard.

02 / QUY TRÌNH

Từ môi trường thử nghiệm tới bằng chứng

01Tạo yêu cầu ủy quyền + PKCE
02Xác thực người dùng/chính sách
03Đổi mã ủy quyền lấy token
04Gọi API với phạm vi đã được duyệt
05Làm mới token theo chính sách
06Thu hồi/đăng xuất
07Xử lý invalid_grant / insufficient_scope

03 / BẢO MẬT & VẬN HÀNH

Vận hành chính thức là quyết định dựa trên bằng chứng

An toàn OAuth phụ thuộc vào việc chọn đúng loại ứng dụng khách, chuyển hướng chính xác, PKCE/nonce, cách lưu token, thu hồi và chính sách phạm vi quyền của ứng dụng triển khai.