OAuth-скоупы

OAuth-скоупы (scopes) — это гранулярные разрешения, которые пользователь выдаёт приложению при подключении через OAuth: конкретный перечень того, что приложению позволено делать от его имени. Когда вы нажимаете «Войти через Google» и видите экран согласия, где приложение просит «читать ваш календарь» или «отправлять почту от вашего имени», каждое из этих действий — отдельный скоуп. Сервер авторизации выдаёт токен доступа, помеченный ровно этими скоупами и ничем больше, поэтому подключённое приложение может читать календари, но не удалять файлы, если такой скоуп не выдан. Для SaaS-разработчиков это работает в обе стороны. Подключая стороннее приложение, изучите запрашиваемые скоупы: приложение, требующее полный доступ к аккаунту, когда ему нужно лишь чтение, — тревожный знак и увеличение радиуса поражения при утечке. Разрабатывая интеграцию, к которой подключаются другие, запрашивайте минимально необходимые привилегии: избыточные скоупы отпугивают заботящихся о безопасности клиентов и повышают вашу ответственность. Хорошо спроектированные API предлагают детальные, наращиваемые скоупы вместо одного разрешения по принципу «всё или ничего».