Questão de Tecnologia da Informação · FGV TJ-AP 2024 (nº 80)

O OAuth2 é um protocolo que permite a um aplicativo (como o TJApp) obter acesso limitado aos recursos de um usuário em outro serviço, sem que o usuário precise compartilhar suas credenciais diretamente com o aplicativo. O parâmetro response_type na requisição de autorização é fundamental para indicar ao servidor qual tipo de concessão (fluxo) o aplicativo deseja usar.

• (A) Correta: Para o fluxo de concessão por código de autorização (Authorization Code Grant), a especificação do OAuth2 define que o valor do parâmetro response_type deve ser code. Este valor indica que o cliente espera receber um código de autorização, que será posteriormente trocado por um token de acesso.
• (B) Incorreta: O valor token é utilizado para o fluxo de concessão Implícito (Implicit Grant), onde o token de acesso é retornado diretamente no fragmento da URL após a autorização do usuário. Armadilha da banca: É tentador escolher "token" porque o objetivo final do OAuth2 é obter um token, mas para o fluxo de código de autorização, o primeiro passo é obter o código, não o token diretamente.
• (C) Incorreta: Não existe um valor auth-code definido na especificação do OAuth2 para o parâmetro response_type. É uma variação que soa plausível, mas não é a correta.
• (D) Incorreta: Não existe um valor access-token definido na especificação do OAuth2 para o parâmetro response_type. O token de acesso é o que se obtém após a troca do código de autorização, não o que se solicita diretamente com este parâmetro no fluxo de código.
• (E) Incorreta: client-credentials é um tipo de concessão (Client Credentials Grant), um fluxo completo do OAuth2, e não um valor para o parâmetro response_type na requisição de autorização de um usuário. Este fluxo é usado para acesso de máquina a máquina, sem envolvimento de um navegador ou usuário final.