Области действия (scopes)

Для доступа к API необходим токен доступа. Каждый токен доступа может обладать определенным набором областей действия. Если токен доступа не имеет область действия, которую требует выполняемый запрос, то вернется ошибка доступа 401.

Области действия имеют древовидную структуру наследования прав, записывается это в виде строки, разделенной точками (что напоминает обращения к вложенным объектам в JS). То есть область действия auth.data имеет более обширные права, чем более конкретная область действия auth.data.personal.get.

Запросы в API всегда требуют максимально конкретную область действия с минимальными правами. Зачастую под каждый запрос есть своя конкретная область действия. Сервер авторизации разрешает получать токен с более обширными правами (например auth.data) и использовать для выполнения всех запросов, которые входят в подмножество данной области действия (например начинаются с auth.data.*).

У каждого клиента администратор сервера авторизации настраивает разрешенный список областей действия, которые клиент может использовать. При проверке возможности использования области действия сервер авторизации использует ту же логику проверки подмножеств, что и при выполнении запроса.

Рекомендуется при написании кода получения токена доступа использовать конкретные области действия, которые указаны в документации как необходимые для выполнения запроса. Это позволит приложению клиента использовать токены только с необходимым доступом, а при выдаче токена пользователь увидит более подробное описание того, что будет использоваться приложением клиента. Если в дальнейшем потребуется расширить области действия токенов в уже работающем приложении клиента, то необходимо будет дописать нужные области и обнулить сессии со старыми токенами доступа внутри приложения клиента.

• Области действия отвечающие за грант авторизации пользователей всегда начинаются с *.
• Остальные работающие без авторизации пользователя начинаются с имени ресурса (например users.*).