يُعدّ OAuth2، أو Open Authorization 2.0، إطار تفويض معياريًا يتيح تفويضًا آمنًا للوصول إلى موارد المستخدم عبر تطبيقات وخدمات مختلفة. وهذه التقنية أساسية في وقت يريد فيه المستخدمون ربط حساباتهم ومشاركة البيانات بين المنصات دون المساس بأمانهم. ويُستخدم OAuth2 على نطاق واسع في تطبيقات الأجهزة المحمولة وتطبيقات الويب، وهو يتيح مع OpenID Connect، وهي طبقة هوية مبنية فوق OAuth2، للمستخدمين تسجيل الدخول إلى خدمة باستخدام حسابات قائمة من منصات شائعة مثل Google أو Apple أو Microsoft، ما يغني عن إنشاء بيانات تسجيل دخول جديدة.
يعمل OAuth2 بمنح التطبيق وصولًا محدودًا إلى موارد المستخدم دون الكشف عن كلمة مروره. ويتحقق ذلك عبر عملية يفوّض فيها المستخدم التطبيق بالعمل نيابة عنه، فينتج عنها رمز وصول يمكن استخدامه للوصول إلى الموارد المطلوبة. ويحافظ هذا النهج على حماية بيانات اعتماد المستخدمين مع توفير تجربة سلسة ومتكاملة عبر خدمات وأجهزة مختلفة.
OAuth2 إطار تفويض يتيح وصولًا آمنًا إلى بيانات المستخدم عبر تطبيقات مختلفة دون مشاركة كلمة مروره. وقد صُممت التقنية لتحسين الأمان وسهولة الاستخدام بالسماح للمستخدمين بمنح تطبيقات الأطراف الثالثة وصولًا إلى بياناتهم عبر رموز تنتهي صلاحيتها بعد فترة محددة. ويناسب OAuth2 بشكل خاص التطبيقات التي تكون فيها الأمان والمرونة أمرين حاسمين، مثل منصات التواصل الاجتماعي والخدمات السحابية وعمليات التكامل عبر واجهات API. ومن الناحية التقنية، يعمل OAuth2 بإصدار رموز وصول يمكن استخدامها للوصول إلى موارد محمية بنطاق محدود، فلا تُشارك كلمة مرور المستخدم أبدًا مع خدمات أخرى. وتكمن قوة OAuth2 في جمعه المتوازن بين الأمان وسهولة الاستخدام، ما يجعله مكونًا مركزيًا في تطوير التطبيقات الحديث.
More about OAuth2
OAuth2 إطار تفويض يتيح وصولًا آمنًا وفعالًا إلى بيانات المستخدم عبر تطبيقات وخدمات مختلفة دون الكشف عن كلمة مروره. وقد صُمم البروتوكول لمنح المستخدمين التحكم في البيانات التي يشاركونها والتطبيقات التي يشاركونها معها، ما يجعله مناسبًا بشكل خاص للتطبيقات التي يكون فيها الأمان وسهولة الاستخدام أمرين حاسمين، مثل وسائل التواصل الاجتماعي والخدمات السحابية وعمليات التكامل مع الأطراف الثالثة.
من الناحية التقنية، يقوم OAuth2 على عدد من تدفقات التفويض (أنواع المنح)، صُمم كل منها لأنواع مختلفة من التطبيقات وحالات الاستخدام. فعندما يريد المستخدم منح تطبيق وصولًا إلى بياناته، يُصدر خادم التفويض رمز وصول يستطيع التطبيق استخدامه للوصول إلى الموارد المطلوبة. والرمز محدود المدة ويمكن تجديده برمز تحديث، ما يجعل OAuth2 مرنًا وآمنًا معًا لأغراض كثيرة.
يعرّف OAuth2 عدة تدفقات تفويض، يدعم كل منها أنواعًا مختلفة من التفاعل:
تدفق رمز التفويض: هنا يتلقى التطبيق رمز تفويض من خادم التفويض، ثم يُستبدل برمز وصول. وكان التدفق موجهًا في الأصل إلى التطبيقات العاملة على الخادم التي تستطيع حماية سر العميل، لكنه مع PKCE (Proof Key for Code Exchange) أصبح الآن التدفق الموصى به لجميع أنواع العملاء، بما في ذلك تطبيقات الأجهزة المحمولة والتطبيقات أحادية الصفحة.
التدفق الضمني: صُمم هذا التدفق للتطبيقات العاملة على جانب العميل دون خادم آمن لحماية أسرار العميل. إذ يتلقى التطبيق رمز وصول مباشرة من خادم التفويض في إعادة التوجيه. ولأن الرمز يُكشف في المتصفح، لم يعد هذا التدفق موصى به وحلّ محله تدفق رمز التفويض مع PKCE.
بيانات اعتماد كلمة مرور مالك المورد: يُستخدم هذا التدفق عندما يتعامل التطبيق مع بيانات اعتماد المستخدم مباشرة، وعادة حيث يكون التطبيق وخادم التفويض تحت التحكم نفسه. وهو الآن غير محبذ في الإرشادات الأمنية الحالية ومُزال من مسودة OAuth 2.1، إذ يكشف كلمة المرور للتطبيق.
بيانات اعتماد العميل: هنا يستخدم التطبيق بيانات اعتماده الخاصة للوصول إلى موارد غير مرتبطة بمستخدم محدد. وكثيرًا ما يُستخدم هذا التدفق للاتصال بين الخوادم.
ومن أكبر نقاط قوة OAuth2 مرونته وأمانه. فلأن الوصول يُمنح عبر رموز بدلًا من كلمات المرور، يقلل OAuth2 خطر اختراق كلمات مرور المستخدمين، إذ لا تُشارك أبدًا مع تطبيقات الأطراف الثالثة. وإضافة إلى ذلك، كثيرًا ما تُطبَّق طبقات أمان إضافية، مثل التشفير أثناء النقل، وانتهاء صلاحية الرموز وتجديدها، والنطاقات التي تحدد البيانات التي يستطيع الرمز الوصول إليها. وتحدّ هذه الخصائص مما يمكن استخدام الرمز فيه ومدة ذلك، ما يقلل الضرر إذا اعتُرض رمز ما.
والتصميم المرن لـ OAuth2 ميزة مهمة أخرى. إذ يمكن تكييف التقنية مع طيف واسع من التطبيقات وحالات الاستخدام، ما يجعلها مناسبة للأنظمة الصغيرة والكبيرة التي تتطلب وصولًا آمنًا إلى البيانات. وخوادم التفويض والمكتبات متاحة على نطاق واسع، ما يمكّن المطورين من بناء تطبيقات آمنة وقابلة للتوسع دون الحاجة إلى ابتكار آلية تفويض خاصة بهم.
عمليًا، غيّر OAuth2 جذريًا طريقة تفاعل التطبيقات والخدمات. إذ يُستخدم في منصات التواصل الاجتماعي، حيث يستطيع المستخدمون تسجيل الدخول بحسابات قائمة من خدمات أخرى، وفي الخدمات السحابية، حيث تستطيع التطبيقات الوصول إلى ملفات المستخدم وبياناته، وفي عمليات التكامل مع الأطراف الثالثة، حيث تستطيع التطبيقات العمل معًا دون مشاركة كلمات المرور.
خلاصة القول، OAuth2 إطار يجمع بين المرونة والأمان وسهولة الاستخدام في حل يجعل التفويض أكثر بداهة وإتاحة للمطورين والمستخدمين على حد سواء. وتجعله قدرته على العمل دون الكشف عن كلمة مرور المستخدم وتنوع تدفقات التفويض فيه أداة مهمة في الحياة الرقمية الحديثة، حيث يُعدّ الوصول الآمن والفعال إلى البيانات ضرورة.
Frequently asked questions about OAuth2
ما هو OAuth2، وكيف يختلف عن OAuth1؟
OAuth2 إطار تفويض يتيح للتطبيقات الحصول على وصول محدود إلى بيانات المستخدم على خدمة ويب دون الكشف عن كلمة مروره. ويعمل OAuth2 بإصدار رموز وصول للتطبيقات، يمكن استخدامها بعد ذلك للوصول إلى موارد محددة نيابة عن المستخدم. ويحسّن هذا النهج الأمان، إذ لا تحتاج التطبيقات إلى تخزين بيانات تسجيل دخول المستخدم أو التعامل معها مباشرة.
ومن الفروق الرئيسية بين OAuth2 وسلفه OAuth1 مدى تعقيد البروتوكول ومرونته. إذ صُمم OAuth2 ليكون أبسط في التطبيق وأكثر قابلية للتوسع، ما يتيح له دعم طيف أوسع من أنواع التطبيقات والأجهزة. وبينما كان OAuth1 يتطلب توقيعات تشفيرية لكل طلب، يعتمد OAuth2 عادة على HTTPS لحماية البيانات أثناء النقل وعلى رموز الحامل، ما يقلل التعقيد في التطوير لكنه يجعل TLS إلزاميًا.
وإضافة إلى ذلك، يقدم OAuth2 عدة تدفقات تفويض، مثل تدفق رمز التفويض وتدفق بيانات اعتماد العميل، صُممت لتلبية حالات استخدام ومتطلبات أمان مختلفة. وهذا يجعل OAuth2 أكثر مرونة وقابلية للتكيف مع تطبيقات الويب والأجهزة المحمولة الحديثة من OAuth1، الذي كان نهجه في التفويض أكثر محدودية.
كيف يعمل رمز التفويض في تدفق OAuth2؟
يُعدّ رمز التفويض في تدفق OAuth2 مكونًا مركزيًا يضمن تبادلًا آمنًا وفعالًا لحقوق الوصول بين تطبيقات العميل وخدمات الموارد. ويُولَّد الرمز عندما يفوّض المستخدم تطبيقًا بالوصول إلى بياناته، ويعمل إذنًا مؤقتًا يمكن استبداله برمز وصول.
عندما يحاول المستخدم تسجيل الدخول إلى تطبيق عبر OAuth2، يُعاد توجيهه إلى خادم تفويض، حيث يُطلب منه منح الإذن. فإذا قبل المستخدم، يولّد خادم التفويض رمز تفويض، يُرسل إلى تطبيق العميل عبر عنوان URI لإعادة التوجيه. والرمز قصير العمر ولا يمكن استخدامه إلا مرة واحدة، ما يزيد الأمان بتقليل خطر إساءة الاستخدام.
ثم يستخدم تطبيق العميل رمز التفويض لطلب رمز وصول من خادم التفويض. ويتضمن هذا الطلب عادة بيانات اعتماد العميل أو، للعملاء العامين مثل تطبيقات الأجهزة المحمولة، أداة تحقق PKCE مع رمز التفويض، ما يضمن ألا يحصل على رمز الوصول إلا التطبيق الذي بدأ التدفق. وبعد إصدار رمز الوصول، يمكن استخدامه للوصول إلى بيانات المستخدم على خادم الموارد دون الكشف عن بيانات تسجيل دخول المستخدم.
ومقارنة بالطرق التي تتطلب مشاركة أسماء المستخدمين وكلمات المرور مباشرة مع التطبيق، يقدم OAuth2 مع رمز التفويض حلًا أكثر أمانًا وسهولة للمستخدم. ويرجع ذلك إلى أنه يفصل مصادقة المستخدم لدى خادم التفويض عن وصول التطبيق إلى البيانات، ما يقلل خطر اختراق بيانات اعتماد المستخدمين.
ما الإجراءات الأمنية التي ينبغي تطبيقها عند استخدام OAuth2؟
لضمان تطبيق آمن لـ OAuth2، من الحاسم اتباع عدد من الإجراءات الأمنية التي تحمي المستخدمين والتطبيقات معًا من التهديدات المحتملة.
ومن أهم الإجراءات الأمنية استخدام HTTPS لجميع تفاعلات OAuth2. وهذا يضمن تشفير البيانات المرسلة بين العميل والخادم وحمايتها من التنصت. فبدون HTTPS، قد تعترض جهات خبيثة معلومات حساسة مثل رموز الوصول، ما قد يؤدي إلى وصول غير مصرح به.
وإضافة إلى ذلك، ينبغي للتطبيقات تطبيق سياسات صارمة للتعامل مع الرموز. ويشمل ذلك استخدام أعمار قصيرة لرموز الوصول، واستخدام رموز التحديث لتمديد الجلسات، وتدوير رموز التحديث، واستخدام PKCE في تدفق رمز التفويض. فبتقييد عمر الرموز، يقل خطر إساءة استخدام الرموز المخترقة لفترة طويلة.
ومن الإجراءات المهمة الأخرى التحقق الصارم من عناوين URI لإعادة التوجيه، باستخدام المطابقة التامة. إذ لا ينبغي السماح إلا بالعناوين المحددة مسبقًا والمعتمدة، لمنع هجمات إعادة التوجيه التي يحاول فيها طرف خبيث إعادة توجيه المستخدمين إلى صفحة ضارة. وهذا يضمن ألا تُرسل رموز التفويض والرموز إلا إلى وجهات مشروعة وآمنة.
ومقارنة بطرق المصادقة التقليدية التي تتطلب غالبًا مشاركة أسماء المستخدمين وكلمات المرور، يقدم OAuth2 نهجًا أكثر أمانًا ومرونة. وبتطبيق هذه الإجراءات الأمنية، يستطيع المطورون ضمان استفادة تطبيقاتهم من نقاط قوة OAuth2 مع حماية بيانات المستخدمين من التهديدات الأمنية المحتملة.
كيف يمكن لـ OAuth2 تحسين تجربة المستخدم في تطبيقات الأجهزة المحمولة والويب؟
يحسّن OAuth2 (Open Authorization 2.0)، الذي يُجمع عادة مع OpenID Connect لتسجيل الدخول، تجربة المستخدم في تطبيقات الأجهزة المحمولة والويب بتقديم طريقة آمنة ومبسطة للتعامل مع مصادقة المستخدمين وتفويضهم. إذ يتيح للمستخدمين تسجيل الدخول إلى التطبيقات باستخدام حسابات قائمة من خدمات شائعة مثل Google أو Facebook أو Apple، ما يغني عن إنشاء بيانات تسجيل دخول جديدة وتذكرها.
وإضافة إلى ذلك، يوفر OAuth2 تجربة أكثر أمانًا بتقليل مشاركة بيانات اعتماد المستخدمين. فبدلًا من مشاركة أسماء المستخدمين وكلمات المرور، تُتبادل رموز لا تمنح الوصول إلا إلى الموارد اللازمة ويمكن إلغاؤها في أي وقت. وهذا يقلل خطر اختراقات البيانات ويحمي خصوصية المستخدم.
ومقارنة بطرق تسجيل الدخول التقليدية التي تتطلب من المستخدمين إدخال بياناتهم يدويًا، يكون تسجيل الدخول القائم على OAuth2 غالبًا أسهل وأكثر فعالية. إذ يقدم عملية تسجيل دخول أسرع، لأن المستخدمين يكتفون بالموافقة على الوصول عبر حساباتهم القائمة، ما ينتج عنه تجربة مستخدم أكثر سلاسة وإرضاءً.
ما الفرق بين التدفق الضمني وتدفق رمز التفويض في OAuth2؟
يتضمن بروتوكول OAuth2 تدفقي تفويض معروفين: التدفق الضمني وتدفق رمز التفويض. وقد صُمم هذان التدفقان للتعامل مع سيناريوهات ومستويات أمان مختلفة عندما يريد تطبيق الوصول إلى موارد المستخدم على خدمة أخرى. وكان التدفق الضمني يُستخدم عادة في التطبيقات العاملة على جانب العميل، مثل التطبيقات أحادية الصفحة، حيث لا يوجد مكون آمن على الخادم لحماية أسرار العميل. وهو يعيد رمز وصول مباشرة إلى العميل في إعادة التوجيه دون خطوة تبادل إضافية.
أما تدفق رمز التفويض، فيضيف خطوة إضافية. إذ يتلقى العميل هنا أولًا رمز تفويض، ثم يُستبدل برمز وصول في طلب مباشر إلى خادم التفويض. ويضيف هذا التبادل الإضافي طبقة أمان، إذ لا يُكشف رمز الوصول أبدًا في شريط عنوان المتصفح أو سجله، ما يقلل خطر سرقة الرمز.
ومقارنة بالتدفق الضمني، الأبسط لكن الأقل أمانًا، يقدم تدفق رمز التفويض طريقة أكثر أمانًا للتعامل مع رموز الوصول. وتنصح الإرشادات الأمنية الحالية (وثيقة OAuth 2.0 Security Best Current Practice) بعدم استخدام التدفق الضمني إطلاقًا، وتوصي بتدفق رمز التفويض مع PKCE لجميع العملاء، بما في ذلك التطبيقات أحادية الصفحة وتطبيقات الأجهزة المحمولة.
كيف يمكن للمطورين التعامل مع تجديد الرموز في OAuth2؟
يُعدّ تجديد الرموز في OAuth2 عملية أساسية تتيح للتطبيقات الحفاظ على الوصول إلى الموارد دون مطالبة المستخدم بتسجيل الدخول مرارًا. فعندما تنتهي صلاحية رمز وصول، يستطيع التطبيق استخدام رمز تحديث لطلب رمز وصول جديد، ما يتيح تجربة مستخدم سلسة.
وللتعامل مع تجديد الرموز بفعالية، ينبغي للمطورين تطبيق آلية تكتشف آليًا متى يوشك رمز الوصول على انتهاء صلاحيته، أو متى رُفض، ثم تستخدم رمز التحديث لطلب رمز وصول جديد من خادم التفويض. ويمكن ذلك بمراقبة عمر الرمز وجدولة التجديد قبل انتهاء صلاحيته بقليل. وينبغي تخزين رموز التحديث بأمان، مثلًا في التخزين الآمن للمنصة على الأجهزة المحمولة، وتدويرها حيث يدعم خادم التفويض ذلك.
ومقارنة بمطالبة المستخدم بتسجيل الدخول مجددًا، يُعدّ استخدام رموز التحديث أسهل للمستخدم وأكثر فعالية بكثير، إذ يقلل الاحتكاك في تجربة المستخدم ويضمن بقاء التطبيق متصلًا بالموارد اللازمة دون انقطاع. وهذا مهم بشكل خاص في التطبيقات التي تحتاج إلى وصول مستمر إلى البيانات مع تقليل تفاعلات المستخدم لتحسين التجربة الإجمالية.
OAuth2 for dummies
OAuth2 تقنية ذكية تتيح لتطبيقات ومواقع ويب مختلفة «التحدث مع بعضها» بأمان دون الحاجة إلى مشاركة كلمات المرور. تخيّلوا تسجيل الدخول إلى تطبيق جديد باستخدام حساب Google. فبدلًا من إعطاء التطبيق كلمة مرور Google، يمنح OAuth2 التطبيق «مفتاحًا» خاصًا لا يمكن استخدامه إلا للوصول إلى المعلومات التي أُعطي الإذن بها. وهذا يعني أنه يمكن استخدام التطبيقات والخدمات المفضلة معًا دون مشاركة كلمات المرور أو إساءة استخدامها. إنها طريقة سهلة وآمنة لتنظيم الروابط الرقمية.