[API] Wstęp do protokołu OAuth

OAuth jest protokołem open source, który pozwala na bardzo bezpieczną autoryzację do API danego usłogodawcy. Zasada działania polega na wymianie tokenów pomiędzy aplikacją serwerową (udostępniającą jakieś API), a klientem, który z tego API korzysta udostępniając tym samym jakieś funkcjonalności swoim użytkownikom. Protokół ten jest wykorzystywany do autoryzacji praktycznie przez wszystkich liczących się na rynku graczy, jak Google, Facebook, Twitter, czy MySpace.

Dzięki OAuth klient korzystający z danej usługi API (np. korzystający z googlowskiego Dysku za pomocą API Google) może operować na udostępnionym zestawie danych bez konieczności każdorazowego podawania hasła, czy loginu - tym zajmuje się OAuth. Działa to tak - iż aplikacja kliencka korzystająca z OAuth otrzymuje od serwera oferującego uwierzytelnianie OAuth specjalny token oraz secret, które klient umieszcza w swojej aplikacji.

Następnie przy pomocy tych danych użytkownik aplikacji klienckiej loguje się do swoich zasobów u danego dostawcy, określając tym samym do jakich jego danych znajdujących się na serwerze dostawcy dostęp zostanie przydzielony aplikacji klienckiej. Przy okazji rejestracji u dostawcy, klient podaje adres zwrotny, na który OAuth ma zwracać żądanie podczas udanej próby autoryzacji.

Większość dostawców API, jak Google, czy FB udostępnia własne biblioteki do API z wbudowaną implementacją OAuth.
Zasadę działania protokołu bardzo ładnie, choć skrótowo przedstawia ten znaleziony w sieci diagram:

źródło: Google Grafika