OAuth 2.0
Das Autorisierungs-Framework — "lass eine App auf meine X-Daten zugreifen, ohne dass ich mein Passwort teile". Keine Authentifizierung (das übernimmt OIDC darüber).
Vier ursprüngliche Grant-Typen: Authorization Code (für Web-Apps), Implicit (seit 2020 deprecated), Resource Owner Password (deprecated), Client Credentials (Server-zu-Server). Heute Standard: Authorization Code + PKCE für jede interaktive Authentifizierung, auch bei SPAs. OAuth 2.1 (RFC-Entwurf 2024) räumt auf: entfernt Implicit und ROPC, macht PKCE verpflichtend. Basiert auf den Rollen Resource Owner, Client, Authorization Server, Resource Server.