المدوّنة · 4 أكتوبر 2023 · Steve Simpson · الهوية

فهم تدفق خادم الويب في OAuth: تشبيه حديقة البيرة

مرحبًا بعودتك إلى سلسلة Securing Identity! في هذه الحلقة نتعمق أكثر في تدفق خادم الويب (Web Server Flow) في OAuth، فنوسّع تشبيه حديقة البيرة السابق، مع تقديم تفاصيل دقيقة عن خبايا هذا التدفق.

عودة إلى تشبيه حديقة البيرة

في تشبيه سابق، شبّهنا عملية الحصول على رمز وصول (أو سوار معصم في تشبيهنا) بطلب بيرة في حديقة بيرة. يوجّهك العميل (روبوت) إلى خادم المصادقة بعد أن يرفض خادم الموارد الوصول لعدم وجود رمز وصول. وعند التحقق من بيانات اعتمادك، يقدّم خادم المصادقة رمز وصول، فتتمكن من الحصول على البيانات المطلوبة من خادم الموارد.

تشبيه حديقة البيرة في OAuth: تعطي العميل بيانات اعتمادك، فيتحقق منها خادم المصادقة ويعيد رمز وصول (سوار معصم)، ثم يُظهر العميل الرمز لخادم الموارد ليحصل على البيانات المطلوبة

دخول طرف ثالث: مطعم البرغر (Burger House)

في هذا التشبيه الموسّع نُدخل طرفًا ثالثًا، هو مطعم البرغر، الذي يحتاج إلى الحصول على البيرة من حديقة البيرة باستخدام بيانات اعتمادك. تتضمن هذه العملية قناة أمامية (front-end channel) أقل أمانًا، ممثّلة باللون الأحمر، وقناة خلفية (back-end channel) أكثر أمانًا، ممثّلة باللون الأسود.

العملية خطوة بخطوة:

تدفق خادم الويب كأنه الحصول على بيرة عبر مطعم برغر: يرسلك مطعم البرغر إلى خادم المصادقة لتسجيل الدخول، ويتلقى رمز تفويض، ويستبدله برمز وصول ورمز تحديث، ثم يحضر لك البيرة من خادم الموارد

الطلب في مطعم البرغر: تطلب بيرة في مطعم البرغر، وهو لا يملكها.

إعادة التوجيه: يُعاد توجيهك إلى الموقع العام لخادم المصادقة عبر قناة أمامية أقل أمانًا.

المصادقة: تسجّل الدخول إلى Salesforce، فتُصدر رمز تفويض (authorization code)، ممثّلًا بعملة زرقاء.

استبدال رمز التفويض: يتلقى مطعم البرغر رمز التفويض ويقدّمه إلى خادم المصادقة عبر قناة خلفية آمنة.

استلام الرمز: يتلقى مطعم البرغر رمز وصول، وربما رمز تحديث (refresh token)، عند نجاح المصادقة.

طلب البيانات: باستخدام رمز الوصول، يطلب مطعم البرغر البيانات من خادم الموارد، ويدمجها مع بياناته، ويقدّمها لك.

العناصر الأساسية لتدفق خادم الويب في OAuth:

قناتان: يتضمن التدفق قناة أمامية أقل أمانًا وقناة خلفية آمنة.

رمز التفويض: يُستخدم رمز تفويض مؤقت للتبادلات الآمنة، ثم يُتخلص منه.

الرخصة التجارية: يجب أن تكون لدى مطعم البرغر رخصة خاصة (consumer key وconsumer secret) ليعمل نيابةً عن مالكي الموارد، مما يضمن تبادلات آمنة ومصرّحًا بها.

الخلاصة