Passer au contenu principal
Les multirésource (MRRT) permettent d’utiliser un seul jeton d’actualisation pour obtenir des jetons d’accès pour plusieurs API, chacune avec ses propres scopes et autorisations. Le MRRT s’appuie sur le comportement standard d’OAuth 2.0 en permettant aux jetons d’actualisation de prendre en charge plusieurs stratégies d’autorisation. Lorsqu’une application échange un jeton d’actualisation contre un , elle peut sélectionner une et des scopes parmi un ensemble configuré. Ainsi, le MRRT simplifie les flux d’authentification en évitant d’avoir à obtenir un nouveau jeton d’actualisation pour chaque API. Avec le MRRT, Auth0 combine deux sources d’autorisation pour déterminer quel jeton d’accès émettre lors d’un échange de jeton d’actualisation :
  1. L’audience et les scopes accordés dans le flux d’authentification d’origine.
  2. L’audience et les scopes configurés dans la stratégie MRRT de l’application.
Cela permet aux applications de réutiliser le jeton d’actualisation non seulement pour les API demandées à la connexion, mais aussi pour des API supplémentaires autorisées dans la stratégie MRRT. Les principaux avantages du MRRT sont les suivants :
  • Un seul jeton d’actualisation, par application, à gérer pour contrôler l’accès à plusieurs API.
  • Inutile de passer par un complet chaque fois que votre application doit accéder à une nouvelle API.
  • Amélioration des performances et réduction de la charge sur le .
  • Réduction du risque de limite de débit en raison de la répétition de flux de code d’autorisation complets.

​
Fonctionnement

  1. L’application s’authentifie auprès d’Auth0.
  2. Auth0 renvoie un jeton d’accès et un jeton d’actualisation multirésource.
  3. L’application utilise le jeton d’accès pour appeler l’API 1.
  4. L’application échange le jeton d’actualisation multirésource pour obtenir un jeton d’accès pour l’API 2.
  5. Auth0 renvoie un nouveau jeton d’accès pour l’API 2.
  6. L’application appelle l’API 2 à l’aide du nouveau jeton d’accès.
Par exemple, une application native authentifie l’utilisateur et demande l’accès à l’audience https://api.example.com. Ensuite, l’application a besoin d’accéder à l’audience https://billing.example.com. Si les deux API sont incluses dans la stratégie MRRT de l’application, celle-ci peut échanger un jeton d’actualisation contre un jeton d’accès pour l’une ou l’autre des API.
Découvrez comment configurer et implémenter un jeton d’actualisation multirésource.

​
Limites

  • Chaque jeton d’accès émis par MRRT est associé à une seule API. Si votre application doit accéder à plusieurs API, vous devez demander des jetons d’accès distincts pour chacune d’elles.
  • MRRT prend uniquement en charge les applications de première partie.
  • MRRT prend en charge les API configurées pour permettre de contourner le consentement de l’utilisateur.
  • La d’Auth0 ne peut pas être incluse dans les politiques MRRT.