Версия источника: 4880e8b4372c96001c2e052be28b68a95d31252b
Синхронизировано: 2026-11-09T11:15:07.649Z
Источник: https://github.com/sergey-from-riders/vibecoding-base/tree/4880e8b4372c96001c2e052be28b68a95d31252b

<a id="integrations-oauth"></a>

# OAuth и PKCE

## Коротко

Для делегированного доступа проверяйте получателя токена и связывайте ответ с начатой авторизацией.

## Плохо

```text
Общий токен всем приложениям.
Произвольный redirect_uri.
```

## Хорошо

```text
Authorization Code + PKCE.
Точный redirect_uri, проверка issuer и state.
```

## Почему

Непроверенный адрес возврата или чужой токен может привести к захвату доступа.

## Когда применять

Состав проверок зависит от клиента и провайдера. Не используйте password grant; минимизируйте scopes.

## Как проверить

- Проверьте подмену state, redirect_uri и токена другой аудитории.

## Человек

Регистрирует приложение и выбирает минимальные разрешения.

## Агент

Реализует интеграцию по документации установленной версии и проверяет отказ, тайм-аут и повтор.

Контроль результата:

- Проверьте подмену state, redirect_uri и токена другой аудитории.

## Источники

- [RFC 9700: Best Current Practice for OAuth 2.0 Security](https://www.rfc-editor.org/rfc/rfc9700.html)

Уровень: Обязательно. Проверено: 2026-11-09. Изменено: 2026-11-09.

[Исходный файл](https://github.com/sergey-from-riders/vibecoding-base/blob/4880e8b4372c96001c2e052be28b68a95d31252b/registry/standards/integrations/external/rules/oauth.md)