OAuth mit Spring Boot

[OmegaPirat28]

Hallo,
ich versuche grad dieses Tutorial nachzuvollziehen.

https://spring.io/guides/tutorials/spring-boot-oauth2/

Dazu hätte ich ein paar Fragen und zwar ist mir das OAuth Protokoll noch nicht ganz klar.

Wieso sind clientId und clientsecret von facebook öffentlich? Ich dachte die müssen geheim sein. Wenn jeder Client mit gleichem clientid und clientsecret zugriff erhält, kann es dann nicht leicht geleakt werden und damit unsicher sein?

Wie ist das bei Multitenant-Anwendungen in der Cloud? Bekommt jeder tenant, der auf die gleiche app zugreifen möchte die gleiche clientId und clientsecret? Wo ist da dann die Sicherheit?

Vielen dank schonmal.

 

[mrBrown]

Wieso sind clientId und clientsecret von facebook öffentlich? Ich dachte die müssen geheim sein. Wenn jeder Client mit gleichem clientid und clientsecret zugriff erhält, kann es dann nicht leicht geleakt werden und damit unsicher sein?

clientID und clientSecret gehören zum Client (=deine Anwendung) und nicht zum ResourceServer. Die im Tut Benutzten sind einfach nur für das Beispiel. Um an echte zu kommen, musst du deine App bei Facebook registrieren und bekommst dann eigene.

Wie ist das bei Multitenant-Anwendungen in der Cloud? Bekommt jeder tenant, der auf die gleiche app zugreifen möchte die gleiche clientId und clientsecret? Wo ist da dann die Sicherheit?

Jede Client-Anwendung bekommt eigene Daten beim jeweiligen Resource-Owner. Völlig unabhängig von Cloud und Miltutentant.

Allerdings glaube ich, dass deine Frage anders gemeint war. Kannst du noch mal anders formulieren, was du meinst?

 

[krgewb]

Miltutentant?

 

[mrBrown]

Miltutentant?

Multitenant meint das natürlich, nachts am Handy tippen ist nicht immer das beste :/