Skip to main content
Les multiresources (MRRT) permettent d’utiliser un seul jeton d’actualisation pour obtenir des jetons d’accès pour plusieurs API, chacune avec ses propres portées et permissions. Le MRRT repose sur le comportement standard d’OAuth 2.0 en permettant aux jetons d’actualisation de conserver plusieurs politiques d’autorisation. Lorsqu’une application échange un jeton d’actualisation contre un , elle peut choisir parmi un ensemble d’ et de portées configurées. Ainsi, le MRRT simplifie les flux d’authentification en évitant d’avoir à obtenir un nouveau jeton d’actualisation pour chaque API. Lors de l’utilisation du MRRT, Auth0 combine deux sources d’autorisation pour déterminer quel jeton d’accès émettre pendant un échange de jeton d’actualisation :
  1. L’audience et les portées accordées dans le flux d’authentification initial.
  2. L’audience et les portées configurées dans la politique MRRT de l’application.
Les applications peuvent ainsi réutiliser le jeton d’actualisation non seulement pour les API demandées à la connexion, mais aussi pour d’autres API autorisées par la politique MRRT. Les principaux avantages du MRRT sont les suivants :
  • Un seul jeton d’actualisation par application à gérer pour contrôler l’accès à plusieurs API.
  • Plus besoin de passer par un complet chaque fois que votre application doit accéder à une nouvelle API.
  • De meilleures performances et une charge réduite sur le .
  • Réduction du risque de limitation du taux de requêtes en raison de flux complets de code d’autorisation répétés.

​
Fonctionnement

  1. L’application s’authentifie auprès d’Auth0.
  2. Auth0 renvoie un jeton d’accès et un jeton d’actualisation multiresource.
  3. L’application utilise le jeton d’accès pour appeler l’API 1.
  4. L’application échange le jeton d’actualisation multiresource afin d’accéder à l’API 2.
  5. Auth0 renvoie un nouveau jeton d’accès pour l’API 2.
  6. L’application appelle l’API 2 à l’aide du nouveau jeton d’accès.
Par exemple, une application native authentifie l’utilisateur et demande l’accès à l’audience https://api.example.com. Ensuite, l’application doit accéder à l’audience https://billing.example.com. Si les deux API sont incluses dans la politique MRRT de l’application, celle-ci peut échanger un jeton d’actualisation contre un jeton d’accès pour l’une ou l’autre des API.
Découvrez comment Configurer et Implement le jeton d’actualisation multiresource.

​
Limitations

  • Chaque jeton d’accès émis au moyen de MRRT est limité à une seule API. Si votre application doit accéder à plusieurs API, vous devez demander des jetons d’accès distincts pour chacune d’elles.
  • MRRT prend uniquement en charge les applications de première partie.
  • MRRT prend en charge les API configurées pour permettre d’ignorer le consentement de l’utilisateur.
  • La d’Auth0 ne peut pas être incluse dans les politiques MRRT.