OAuth2/OIDC — потоки

Потоки

Auth Code + PKCE для SPA/мобільних.

Client Credentials для машинних інтеграцій.

Device Authorization для TV/CLI.

Implicit — застарілий.

Токени і безпека

JWT/opaque токени, підписи, терміни життя, рефреш-токени, audience/scope, управління сесіями і відкликання.

Загрози і захист

PKCE, state/nonce, SameSite, захист редіректів, паролі застосунків для конфіденційних клієнтів, DPoP/MTLS.

Гайд з прикладами

Приклад: Конфігурація Authorization Code + PKCE

Зареєструвати клієнт із дозволеними redirect_uri.

Увімкнути PKCE (S256), перевірку state/nonce.

Налаштувати ротацію refresh-токенів і logout ендпоінти.

Спробуйте наживо

Усе, що вище, працює прямо у вашому браузері — відкрийте Network Packet Routing і змінюйте параметри під час роботи. Нічого не встановлюється, нічого не завантажується на сервер, уся модель живе в одній вкладці.