Мастодонт: Как вы можете аутентифицировать приложение без токена пользователя?

Question

Мое понимание oauth2 (в контексте Мастодонта) состоит в том, что пользователь регистрирует своего клиента с помощью экземпляра Мастодонта и получает секреты клиента, которые затем используются для создания URI аутентификации, который пользователь посещает и получает код авторизации, которыйиспользуется с секретами для запроса окончательного токена авторизации.Этот токен используется для подписи аутентифицированных запросов через заголовки запросов.

Я заметил, что Mastodon не требует от пользователя проверки учетных данных oauth2 приложения.

https://docs.joinmastodon.org/api/rest/apps/#get-api-v1-apps-verify-credentials

Как можно отправить любой аутентифицированный запрос безаутентификация пользователя?

Answer 1

С точки зрения OAuth 2.0 пользователям не требуется проверять учетные данные приложения.Учетные данные приложения принадлежат приложению и должны быть защищены от любых третьих лиц, включая конечных пользователей.

OAuth 2.0 предназначен для авторизации или, другими словами, делегирования доступа.Когда конечный пользователь использует ваше приложение, он / она разрешает вашему приложению использовать его / ее ресурсы.Поэтому задача приложения - извлекать, хранить, использовать и защищать учетные данные.

Подробнее о клиентах (приложениях) читайте в спецификации OAuth 2.0 .

Еще одна вещь,

Этот токен используется для подписи аутентифицированных запросов через заголовки запросов

Это понимание неверно.Как только приложение получит токены, они будут просто пропущены через заголовки к защищенной конечной точке OAuth (например: Mastodon API).Это выделено в их документации

Получив токен доступа, добавьте HTTP-заголовок Authorization: Bearer ... к любому вызову API.

Подробнее об этом см. RFC6750 - Структура авторизации OAuth 2.0: использование токенов на предъявителя