Smarter by Design.Simpler for Business
TR7Enterprise Application Delivery & Security Platform
Bearer Token nedir?
Kısa cevap
Bearer token, Authorization: Bearer <token> header'ıyla gönderilen ve taşıyana erişim veren token'dır: sunucu token'ı geçerli bulursa isteği kimin yaptığına bakmadan erişim verir (RFC 6750). Bu yüzden ele geçirilen bir bearer token, geçerlilik süresi boyunca parola kadar değerlidir; yalnızca HTTPS üzerinden taşınır ve kısa ömürlü tutulur. OAuth 2.0 access token'ları çoğunlukla bu biçimde kullanılır. TR7'de iki yerde kullanılır: AGS Backend SSO Configurations profilinde Type = Bearer Token seçilen enjeksiyon, doğrulanan kullanıcı için Bearer Token alanında Smart Variable'larla üretilen değeri arkadaki uygulamaya Authorization: Bearer … header'ı olarak ekler; header adı Header Name Override ile değiştirilebilir. OAuth2 ve OpenID Connect sağlayıcılarında ise TR7 aldığı access token'ı user info endpoint'ine varsayılan olarak Bearer header'ıyla gönderir (User Info Request Method: GET with Bearer header).
TR7'de Nerede Kullanılır
| Nerede | Alan / etiket | Ne için |
|---|---|---|
| AGS → Integrations → Backend SSO Configurations | Injections → Type = Bearer Token; Bearer Token, Header Name Override | Kimliğin arkadaki uygulamaya token ile aktarılması; istemciden gelen aynı adlı header önce kaldırılır |
| AGS etkin vService → Flowchart | Backend SSO Config | Profilin vService'e bağlanması |
| AGS → Authentication → Authentication Providers (OAuth2, OpenID Connect; Custom Provider) | User Info Request Method: GET with Bearer header (varsayılan) ya da POST form parameters | Access token'ın user info isteğinde gönderilme biçimi |
Sık Karıştırılan Noktalar
- "Bearer token kullanıcıya bağlıdır, çalınsa işe yaramaz." Bearer token'ı elinde bulunduran herkes, token geçerli olduğu sürece kullanabilir.
- "Bearer ile Basic aynı header'dır." İkisi de Authorization header'ını kullanır; Basic kullanıcı adı ve parolayı, Bearer bir token'ı taşır.
- "Backend SSO'daki Bearer Token enjeksiyonu kullanıcıyı doğrular." Enjeksiyon yalnızca AGS'de oturum açmış kullanıcının isteklerine eklenir; doğrulamayı akıştaki Authentication Provider adımı yapar.
Dokümantasyonda nasıl yapılır
