OAuth 2.0 è un protocollo di autorizzazione che consente a un'applicazione di ottenere accesso a risorse protette su un server per conto di un utente, senza dover condividere le credenziali dell'utente stesso. Questo sistema di autorizzazione è diventato uno standard de facto per l'accesso alle API, specialmente nel contesto delle applicazioni web e mobili. L'emergere di OAuth 2.0 ha rappresentato un passo significativo rispetto ai suoi predecessori, fornendo un modello più flessibile e sicuro per l'autenticazione e l'autorizzazione.

Il funzionamento di OAuth 2.0 si basa su vari concetti chiave, tra cui il ruolo degli attori coinvolti nel processo di autorizzazione, i flussi di autorizzazione e i token di accesso. Gli attori principali sono il Resource Owner, il Client, il Authorization Server e il Resource Server. Il Resource Owner è tipicamente l'utente finale che possiede le risorse, il Client è l'applicazione che desidera accedere alle risorse protette, l'Authorization Server gestisce la concessione dei permessi e il Resource Server è l'host delle risorse stesse.

Uno degli aspetti più significativi di OAuth 2.0 è la sua capacità di supportare vari flussi di autorizzazione, ognuno progettato per scenari specifici. I flussi più comuni includono il flusso di autorizzazione del codice, il flusso implicito, il flusso delle credenziali del proprietario della risorsa e il flusso del client. Nel flusso di autorizzazione del codice, l'utente viene reindirizzato all'Authorization Server per autenticarsi e autorizzare il Client. Una volta completato, il Client riceve un codice di autorizzazione che può essere scambiato per un token di accesso. Nel flusso implicito, il token di accesso viene restituito direttamente nell'URL di reindirizzamento, rendendolo più adatto per le applicazioni client-side. Il flusso delle credenziali del proprietario della risorsa consente al Client di inviare direttamente le credenziali dell'utente per ottenere un token di accesso, mentre nel flusso del client, il Client ottiene un token di accesso direttamente utilizzando le proprie credenziali.

L'uso di token di accesso è fondamentale in OAuth 2.0. Questi token sono stringhe generate dall'Authorization Server e vengono utilizzati dal Client per accedere alle risorse protette sul Resource Server. I token possono avere una durata limitata, riducendo il rischio di accesso non autorizzato. Inoltre, OAuth 2.0 supporta anche il concetto di refresh token, che consente al Client di ottenere nuovi token di accesso senza richiedere nuovamente l'autenticazione dell'utente.

Un esempio pratico dell'uso di OAuth 2.0 è l'integrazione di un'applicazione di terze parti con un servizio come Google. Immagina che un'app di gestione delle attività voglia accedere ai contatti di un utente su Google. L'utente verrebbe reindirizzato a una pagina di accesso di Google, dove potrebbe inserire le proprie credenziali. Dopo l'autenticazione, Google chiederebbe all'utente se desidera concedere all'app di gestione delle attività l'accesso ai propri contatti. Se l'utente acconsente, Google genererebbe un token di accesso che l'app può utilizzare per accedere ai contatti dell'utente. Questo processo consente all'utente di mantenere il controllo sulle proprie credenziali, dato che non sono mai condivise con l'app di terze parti.

Un altro esempio è l'integrazione di OAuth 2.0 in un'app mobile. Immagina un'app di social media che desidera consentire agli utenti di effettuare il login utilizzando il loro account Facebook. Quando l'utente seleziona l'opzione di login con Facebook, l'app reindirizza l'utente alla pagina di accesso di Facebook. Dopo che l'utente ha inserito le proprie credenziali e ha autorizzato l'accesso, Facebook restituisce un token di accesso all'app, permettendo all'app di recuperare il profilo dell'utente e altre informazioni pertinenti.

Nel contesto delle formule, possiamo dire che la relazione tra gli attori coinvolti in OAuth 2.0 può essere rappresentata in termini di richieste e risposte. Quando il Client invia una richiesta di autorizzazione all'Authorization Server, la struttura della richiesta può essere rappresentata come:

```
GET /authorize?response_type=code&client_id=CLIENT_ID&redirect_uri=REDIRECT_URI&scope=SCOPES&state=STATE HTTP/1.1
Host: authorization-server.com
```

Dopo che l'utente ha autorizzato il Client, l'Authorization Server reindirizza l'utente al redirect_uri fornito, includendo il codice di autorizzazione:

```
HTTP/1.1 302 Found
Location: REDIRECT_URI?code=AUTHORIZATION_CODE&state=STATE
```

Successivamente, il Client utilizza il codice di autorizzazione per richiedere un token di accesso all'Authorization Server:

```
POST /token HTTP/1.1
Host: authorization-server.com
Content-Type: application/x-www-form-urlencoded

grant_type=authorization_code&code=AUTHORIZATION_CODE&redirect_uri=REDIRECT_URI&client_id=CLIENT_ID&client_secret=CLIENT_SECRET
```

L'Authorization Server risponde quindi con un token di accesso e, facoltativamente, un refresh token:

```
HTTP/1.1 200 OK
Content-Type: application/json

{
access_token: ACCESS_TOKEN,
token_type: Bearer,
expires_in: 3600,
refresh_token: REFRESH_TOKEN
}
```

Il protocollo OAuth 2.0 è stato sviluppato grazie alla collaborazione di diverse aziende e organizzazioni nel campo della tecnologia. È stato formalizzato nel 2012 dalla Internet Engineering Task Force (IETF) attraverso un documento di specifica noto come RFC 6749. Tra i principali contributori ci sono nomi noti come Google, Facebook, Microsoft e Twitter, che hanno riconosciuto la necessità di un meccanismo sicuro e standardizzato per l'autenticazione e l'autorizzazione. La comunità open source ha anche svolto un ruolo cruciale nel diffondere e implementare soluzioni basate su OAuth 2.0, contribuendo a una vasta gamma di librerie e strumenti che semplificano l'integrazione del protocollo nelle applicazioni.

In sintesi, OAuth 2.0 rappresenta un importante progresso nelle pratiche di autorizzazione, offrendo un sistema sicuro e flessibile per la gestione dell'accesso alle risorse protette. La sua adozione diffusa da parte di aziende e sviluppatori dimostra non solo la sua efficacia, ma anche la sua importanza nel panorama della sicurezza delle applicazioni moderne.