Scopes, roles ve audience: üç farklı sınır

Kavramı anlayalım

Audience token’ın hangi hedef için verildiğini, scope yetkilendirme akışında izin verilen erişim kapsamını, rol ise kullanıcı veya uygulama kategorisini ifade edebilir. Bu alanların isimleri ve biçimi sağlayıcıya göre değişebilir. orders.read scope’u ödeme iptali yetkisi değildir; Admin rolü de yanlış audience token’ını geçerli yapmaz.

Delegated token kullanıcı adına, application token ise uygulamanın kendi kimliğiyle çalışabilir. Client credentials akışında gerçek bir kullanıcının kimliği bulunduğunu varsayma. Aynı endpoint iki modeli kabul ediyorsa actor ve permission kurallarını açık tanımla. Kapsamın varlığını string contains ile aramak, orders.read-extra gibi değerleri yanlış kabul edebilir; sağlayıcının tanımladığı ayrıştırma ve claim mapping kullanılır.

Geniş scope istemek kullanıcı onayını ve riskini büyütür. Yetkinin gereken işlemle en düşük kapsamda eşleşmesini hedefle. Token’daki scope resource ownership’ini otomatik kaldırmaz. /orders/42 için hem API hedefi, hem operation, hem kaynağın kapsamı denetlenir. Bu farklı sınırları hata loglarında ayırmak teşhisi kolaylaştırır; dış yanıtta gereksiz iç ayrıntı verme.