Cloudflare bổ sung tùy chọn phạm vi OAuth theo tác vụ
"Cloudflare introduced OAuth scope customization, allowing client owners to mark specific scopes as optional so users can grant a narrower subset of permissions during authorization. The change builds on OAuth's existing ability to issue reduced grants, and access tokens now reflect only the scopes actually consented to, requiring apps to verify granted scopes after code exchange."
Giảm nguy cơ cấp quá quyền nhờ optional scopes và partial grants; tuy nhiên ứng dụng phải xác minh scope thực tế sau khi đổi mã để tránh giả định sai về quyền.
Có thể cải thiện tỷ lệ người dùng chấp thuận nhờ cấp quyền theo tác vụ; đồng thời đòi hỏi cập nhật logic tích hợp và kiểm thử lại luồng OAuth hiện có.
Cloudflare đã giới thiệu tính năng OAuth scope customization, cho phép chủ sở hữu client đánh dấu một số scope là optional để người dùng có thể cấp quyền theo phạm vi hẹp hơn khi xác thực. Thay đổi này dựa trên khả năng vốn có của OAuth là cấp reduced grants, nhưng làm cho trải nghiệm cấp quyền rõ ràng hơn với các ứng dụng hiện có.
Theo mô hình mới, các scope required và optional chỉ được đánh giá trong authorization request cụ thể, không phải toàn bộ scope đã cấu hình cho client. Nếu người dùng bỏ chọn scope tùy chọn, access token được tạo ra sẽ chỉ chứa các scope đã được đồng ý. Vì vậy, ứng dụng cần kiểm tra granted scopes sau bước exchange authorization code, thay vì giả định toàn bộ quyền đã được chấp thuận.
Cách tiếp cận này giúp giảm rủi ro khi các ứng dụng như SaaS integrations, internal tools, CLIs hoặc agents yêu cầu quyền rộng hơn mức cần thiết. Khuyến nghị kỹ thuật là rà soát lại cấu hình OAuth client, phân loại scope theo mức cần thiết, và thiết kế ứng dụng để hoạt động an toàn với partial grants.