RFC 7662 Token Introspection: den Status live erfragen
Token Introspection erlaubt einem Ressourcen-Server, beim Autorisierungsserver nachzufragen, ob ein Token noch aktiv ist und was es erlaubt. Für Vollmachten ist das der Mechanismus, der einen Widerruf sofort durchsetzt.
Das Prinzip
Der Ressourcen-Server sendet das Token an den Introspection-Endpunkt und erhält active true oder false samt Details zurück. Er muss den Inhalt des Tokens nicht selbst auswerten.
Bei Mandact
Der Introspection-Endpunkt der früheren OAuth-Brücke ist zurückgezogen (410 Gone). Dasselbe Prinzip — den Status live erfragen statt einem Token bis zum Ablauf zu vertrauen — setzt Mandact über /v1/verify um: Ein widerrufenes Mandat ist ab der nächsten Prüfung ungültig.
Abwägung
Introspection kostet einen Aufruf pro Prüfung. Für Handlungen mit Rechtswirkung ist das der richtige Preis: lieber eine Prüfung mehr als ein widerrufenes Mandat, das noch angenommen wird.
Stand
Erklärt den Standard; der frühere Mandact-Endpunkt ist zurückgezogen (410 Gone).