Работал ли с OAuth авторизацией

Да, работал. OAuth — это протокол для авторизации, который позволяет пользователям предоставлять доступ к своим данным на сторонних сервисах без передачи логина и пароля.

Основные шаги OAuth 2.0:

1. Приложение перенаправляет пользователя на сервис авторизации (например, Google, GitHub).
2. Пользователь подтверждает запрос прав.
3. Сервис возвращает authorization_code или сразу access_token (в зависимости от flow).
4. Приложение обменивает code на access_token (если нужно).
5. С access_token можно делать запросы к API от имени пользователя.

Пример с фронтендом (Implicit Flow):

// После редиректа обратно с токеном в URL (#access_token=...)
const token = new URL(window.location.href).hash.split('=')[1];
fetch('https://api.example.com/user', {
  headers: { 'Authorization': `Bearer ${token}` }
});

Важно:

• Используйте PKCE для защиты SPA.
• Храните токены в HttpOnly куках или sessionStorage (но не в localStorage из-за XSS).
• Проверяйте state параметр для защиты от CSRF.