Области для приложений OAuth

При настройке OAuth app GitHub запрашиваемые области отображаются пользователю в форме авторизации.

Если у вас OAuth app нет доступа к браузеру, например средству КОМАНДНОй строки, вам не нужно указывать область для пользователей для проверки подлинности в приложении. Дополнительные сведения см. в разделе Авторизация приложений OAuth.

Проверьте заголовки, чтобы узнать, какие области OAuth у вас есть и что принимает действие API:

$ curl -H "Authorization: Bearer OAUTH-TOKEN" http(s)://HOSTNAME/api/v3/users/codertocat -I
HTTP/2 200
X-OAuth-Scopes: repo, user
X-Accepted-OAuth-Scopes: user

• X-OAuth-Scopes выводит список областей, разрешенных токеном;
• X-Accepted-OAuth-Scopes выводит список областей, проверяемых действием.

Доступные области

https://github.com/login/oauth/authorize?
  client_id=...&
  scope=user%20repo_deployment

Запрошенные и предоставленные области

Атрибут scope перечисляет области, присоединенные к предоставленному пользователем токену. Обычно эти области идентичны запрошенным областям. Однако пользователи могут редактировать свои области, фактически предоставляя вашему приложению меньше доступа, чем вы изначально запрашивали. Кроме того, пользователи могут редактировать области токенов после завершения потока OAuth. Учитывайте такую возможность и корректируйте поведение своего приложения соответствующим образом.

Важно продумывать ошибки, которые могут возникать, когда пользователь решает предоставить вам меньше доступа, чем вы изначально запрашивали. Например, приложения могут предупреждать или иным образом сообщать пользователям, что функциональные возможности будут ограничены или некоторые действия будут недоступны.

Кроме того, приложения могут в любой момент снова отправить пользователя в поток, чтобы получить дополнительное разрешение, но не забывайте, что при этом пользователи всегда могут отказаться.

Ознакомьтесь с руководством по основам проверки подлинности, где приводятся рекомендации по обработке изменяемых областей маркеров.

Нормализованные области

При запросе нескольких областей токен сохраняется с нормализованным списком областей, в который не входят области, косвенно включенные другой запрошенной областью. Например, при запросе user,gist,user:email выдается токен с областями user и gist, поскольку доступ, предоставленный областью user:email, входит в область user.