Выбор ответа Senior Авторизация и безопасность API обновлено
OAuth 2.0 для мобильного приложения
Вопрос
Какой поток OAuth 2.0 рекомендуется для мобильного или одностраничного приложения?
Попробуйте сами
Выберите вариант, и откроется разбор.
Показать ответ и разбор
Коротко
Правильный ответ: Authorization Code с PKCE. Публичный клиент не может хранить client secret, поэтому используют Authorization Code с PKCE: одноразовый код меняется на токен с проверкой codeverifier.
Варианты ответа
- Implicit
- Resource Owner Password Credentials
- Client Credentials
- Authorization Code с PKCEправильный ответ
Разбор
Публичный клиент не может хранить client secret, поэтому используют Authorization Code с PKCE: одноразовый код меняется на токен с проверкой code_verifier. Implicit возвращал токен прямо в адресе и признан небезопасным, в OAuth 2.1 его убирают вместе с password grant. Client Credentials для общения сервиса с сервисом без пользователя.
Ответьте сами, а не прочитайте
В тренажёре вопрос попадёт в повторения и вернётся, когда начнёт забываться. Плюс билеты с зачётом: 20 вопросов, не больше 2 ошибок.