मैं OAuth2 पर बहुत कुछ पढ़ रहा हूं, इसके चारों ओर अपना सिर लाने की कोशिश कर रहा हूं, लेकिन मैं अभी भी कुछ के बारे में उलझन में हूं।
मैं समझता हूं कि ग्राहक OAuth प्रदाता (उदाहरण के लिए Google) के साथ अधिकृत है और संसाधन सर्वर को उपयोगकर्ता के प्रोफ़ाइल डेटा तक पहुंचने की अनुमति देता है। तब क्लाइंट एक्सेस टोकन को रिसोर्स सर्वर पर भेज सकता है और संसाधन को वापस दिया जा सकता है।
लेकिन किसी भी दस्तावेज में ऐसा नहीं लगता है कि क्या होता है जब क्लाइंट ऐप किसी संसाधन के लिए संसाधन सर्वर से पूछता है और इसे एक्सेस टोकन पास करता है। मैंने अब तक जो कुछ भी पढ़ा है वह बताता है कि संसाधन सर्वर केवल अनुरोधित संसाधन के साथ प्रतिक्रिया करता है।
लेकिन ऐसा लगता है कि एक बड़ा छेद जैसा है, निश्चित रूप से संसाधन सर्वर को किसी तरह टोकन एक्सेस को मान्य करना होगा, अन्यथा मैं किसी भी पुराने अनुरोध को नकली कर सकता था और एक पुराने, चोरी, नकली, या यादृच्छिक रूप से उत्पन्न टोकन को पारित कर सकता था और यह सिर्फ इसे स्वीकार करेगा।
क्या कोई मुझे OAuth2 के स्पष्टीकरण का पालन करने के लिए एक सरल बिंदु पर बता सकता है क्योंकि अभी तक मैंने जो पढ़ा है वह अधूरा महसूस करता है।