OAuth 2.0 RFC 6749
Auktoriserings-ramverket — "låt en app komma åt mina X-uppgifter utan att jag delar mitt lösenord". Inte autentisering (det är OIDC ovanpå).
Fyra ursprungliga grant-typer: Authorization Code (för web apps), Implicit (deprecated 2020), Resource Owner Password (deprecated), Client Credentials (server-till-server). Modern: Authorization Code + PKCE är default för all interaktiv auth, även SPA. OAuth 2.1 (RFC-utkast 2024) städar upp: tar bort Implicit + ROPC, gör PKCE obligatoriskt. Bygger på roller: resource owner, client, authorization server, resource server.