3. Security Considerations
3. Security Considerations
Un jeton d'accès restreint par audience qui est légitimement présenté à une ressource ne peut ensuite pas être emporté par cette ressource et présenté ailleurs pour un accès illégitime à d'autres ressources. Le paramètre resource permet à un client d'indiquer les ressources protégées où le jeton d'accès demandé sera utilisé, ce qui permet au serveur d'autorisation d'appliquer les restrictions d'audience appropriées au jeton.
Certains serveurs peuvent héberger du contenu utilisateur ou être multi-locataires. Afin d'éviter les attaques où un locataire utilise un jeton d'accès pour accéder illégitimement aux ressources d'un autre locataire, il est important d'utiliser un URI de ressource spécifique incluant toute partie de l'URI qui identifie le locataire, par exemple un composant de chemin. Cela permet de restreindre les jetons d'accès par audience de manière à identifier le locataire et d'empêcher leur utilisation, en raison d'une audience invalide, sur des ressources appartenant à un autre locataire.
Bien que plusieurs occurrences du paramètre resource puissent être incluses dans une requête de jeton, l'utilisation d'un seul paramètre resource est encouragée. Si un jeton bearer a plusieurs destinataires prévus (audiences), le jeton est valide sur plus d'une ressource protégée et peut être utilisé par l'une de ces ressources pour accéder à n'importe laquelle des autres. Ainsi, un degré élevé de confiance entre les parties est nécessaire lors de l'utilisation de jetons d'accès avec plusieurs audiences. De plus, un serveur d'autorisation peut être réticent ou incapable de satisfaire une requête de jeton avec plusieurs ressources.
Chaque fois que c'est faisable, le paramètre resource devrait correspondre à l'emplacement adressable sur le réseau de la ressource protégée. Cela permet au client de vérifier que la ressource demandée contrôle l'emplacement réseau correspondant, réduisant le risque que des points de terminaison malveillants obtiennent des jetons destinés à d'autres ressources. Si le paramètre resource contient un identifiant abstrait, il incombe au client de valider hors bande que tout point de terminaison réseau auquel les jetons sont envoyés constitue l'audience prévue pour cet identifiant.