11. Implementierungsüberlegungen (Implementation Considerations)

11.1. Verwendung von authorization_details in einer Bestimmten Bereitstellung (Using authorization_details in a Certain Deployment)

Ein Ökosystem, das diese Spezifikation verwendet, wird die verwendeten type-Werte und Autorisierungsdetail-Typen definieren und welche Erweiterungsfelder für jeden solchen Typ definiert sind. Eine solche Definition SOLLTE ein JSON Schema (oder einen anderen geeigneten Formalismus) für jeden solchen type-Wert enthalten, um die Validierung durch den AS und den Client zu erleichtern.

Autorisierungsserver SOLLTEN den Metadaten-Parameter authorization_details_types_supported veröffentlichen und unterstützte type-Werte für ihre Bereitstellung deklarieren.

Bei der Entscheidung, ob scope oder authorization_details für eine bestimmte Bereitstellung oder einen Anwendungsfall verwendet werden soll, können die folgenden Überlegungen hilfreich sein:

• scope kann für Anwendungsfälle verwendet werden, bei denen jeder Scope-Wert eine eindeutige Bedeutung vermittelt.
• authorization_details sollte verwendet werden, wenn die vermittelten Berechtigungen durch weitere Autorisierungsdetails granular gemacht werden können.

Entwickler sollten nicht beide Autorisierungsdatenformate verwenden, um dieselbe Art von Autorisierungsdaten zu spezifizieren, um die Komplexität zu begrenzen und Verwirrung zu vermeiden.

11.2. Minimale Produktimplementierung (Minimal Product Implementation)

Systeme, die nur die minimalste Funktionalität für RAR implementieren möchten, können dies tun, indem sie eine Teilmenge von Funktionen implementieren:

• Ein Client KANN nur einen bestimmten type-Wert und nur die gemeinsamen Datenfelder (Abschnitt 2.1) für diesen bestimmten type unterstützen.
• Ein AS KANN nur einen bestimmten type-Wert und nur die gemeinsamen Datenfelder (Abschnitt 2.1) für diesen bestimmten type unterstützen.
• Ein Ressourcenserver (RS) KANN nur das locations-Element gegen den Ressourcenindikator am RS prüfen und KANN andere authorization_details-Inhalte ignorieren.

11.3. Größe von Autorisierungsanfragen (Size of Authorization Requests)

In Bereitstellungen, die diese Spezifikation nutzen, wird die Größe von Autorisierungsanfragen aufgrund der zusätzlich übermittelten Details voraussichtlich zunehmen. Bereitstellungen sollten sicherstellen, dass in ihren Systemen ausreichend Pufferplatz zugewiesen ist, um die erwartete Größenzunahme bewältigen zu können. Autorisierungsanfrage-URIs (z.B. in HTTP-Redirect-Bindungen) können aufgrund des in der Autorisierungsanfrage kodierten Inhalts größer werden. Systemimplementierer sollten ihre Systeme so konfigurieren, dass sie die erwartete Größenzunahme ohne Fehler am Client, AS oder an zwischengeschalteten Infrastrukturkomponenten wie Proxies und Caches bewältigen können.

Wie in Abschnitt 12 gezeigt, kann der Schutz der Anfrage-Integrität und -Vertraulichkeit unter Verwendung von [RFC9101] und [RFC9126] auch dazu beitragen, die Größe der URL-Pfadkomponente innerhalb der Grenzen zu halten.