Cloudflare nâng cấp bảo mật OAuth: Chuyển từ mô hình ‘tất cả hoặc không’ sang cấp quyền theo tác vụ

Kể từ tháng 6, hệ sinh thái Cloudflare đã chứng kiến sự bùng nổ với hàng nghìn ứng dụng OAuth bên thứ ba được tạo ra, cùng hơn một triệu lượt ủy quyền. OAuth đóng vai trò quan trọng trong việc cho phép các ứng dụng thay mặt người dùng thực hiện tác vụ mà không cần chia sẻ mật khẩu hay thông tin đăng nhập dài hạn.

Tuy nhiên, mô hình cấp quyền truyền thống thường đi theo hướng “tất cả hoặc không” (all-or-nothing). Điều này gây khó khăn cho người dùng khi họ không muốn cấp toàn bộ quyền mà ứng dụng yêu cầu, nhưng lại không có lựa chọn nào khác ngoài việc chấp nhận hoàn toàn hoặc từ chối toàn bộ. Đặc biệt với các MCP server (Model Context Protocol), nơi các tác nhân (agent) có thể yêu cầu phạm vi quyền hạn rất rộng, mô hình này trở nên kém linh hoạt.

Cơ chế tùy chỉnh phạm vi (Scope Customization)

Cloudflare hiện đã ra mắt tính năng tùy chỉnh phạm vi OAuth. Chủ sở hữu ứng dụng (client owners) có thể đánh dấu các scope cụ thể là “tùy chọn” (optional) khi cấu hình. Tại thời điểm ủy quyền, người dùng có quyền bỏ chọn các scope không cần thiết, giúp thu hẹp phạm vi truy cập mà ứng dụng nhận được.

Các điểm chính của tính năng mới:

• Kiểm soát linh hoạt: Nhà phát triển có thể phân loại scope thành bắt buộc hoặc tùy chọn.
• Trải nghiệm người dùng: Người dùng có thể tùy chỉnh quyền hạn ngay trên màn hình đồng ý (consent screen).
• Tính tương thích: Nếu không có scope nào được đánh dấu là tùy chọn, trải nghiệm người dùng vẫn giữ nguyên như cũ.
• Cơ chế đánh giá: Các scope được đánh giá dựa trên yêu cầu cụ thể của từng luồng ủy quyền, thay vì dựa trên toàn bộ cấu hình của ứng dụng.

Lưu ý cho nhà phát triển

Khi người dùng bỏ chọn các scope tùy chọn, mã thông báo truy cập (access token) được tạo ra sẽ chỉ chứa các scope mà người dùng đã đồng ý. Do đó, các nhà phát triển cần cập nhật logic ứng dụng để kiểm tra tập hợp scope thực tế được cấp sau khi trao đổi mã ủy quyền, thay vì mặc định rằng toàn bộ yêu cầu đã được phê duyệt.

Việc xây dựng ứng dụng với khả năng xử lý các quyền hạn hạn chế không chỉ giúp tăng cường bảo mật mà còn xây dựng niềm tin với người dùng cuối. Trong thời gian tới, Cloudflare cũng sẽ tiếp tục mở rộng các vai trò (role) ở cấp tài khoản và zone cho hầu hết các sản phẩm của mình, cung cấp thêm công cụ để bảo vệ các workload với mức độ truy cập phù hợp.

Nguồn tham khảo: Cloudflare Blog