Sécurité applicative
Serveur de ressources OAuth2 / OIDC
Un projet d’API Python documenté pour valider des jetons d’accès JWT et autoriser les requêtes au moyen de scopes et de rôles.
01
Problème et objectif
Le serveur de ressources vise à protéger des endpoints API en validant les jetons d’accès émis par un serveur d’autorisation et en vérifiant que chaque jeton possède les permissions requises.
02
Mise en œuvre documentée
Le dépôt décrit une API Flask qui vérifie les signatures JWT à l’aide des clés publiques JWKS, valide l’émetteur, l’audience et les claims temporels, puis applique des contrôles de scopes et de rôles. Sa documentation décrit des réponses 401 et 403 conformes aux usages OAuth2. L’intégration dépend d’une configuration fournie par un serveur d’autorisation distinct.
03
Apprentissages
Ce projet met l’accent sur la frontière de confiance de l’API : valider les propriétés du jeton avant d’accorder l’accès, appliquer les permissions côté ressource et éviter de journaliser les jetons porteurs.