Escopos para aplicativos OAuth

Ao configurar um aplicativo OAuth app no GitHub, os escopos solicitados são exibidos para o usuário no formulário de autorização.

Se seu OAuth app não tiver acesso a um navegador, como uma ferramenta de CLI, você não precisará especificar um escopo para que os usuários efetuem a autenticação no seu aplicativo. Para saber mais, confira Autorizar aplicativos OAuth.

Verifique os cabeçalhos para ver quais escopos do OAuth você tem e o que a ação da API aceita:

$ curl -H "Authorization: Bearer OAUTH-TOKEN" https://api.github.com/users/codertocat -I
HTTP/2 200
X-OAuth-Scopes: repo, user
X-Accepted-OAuth-Scopes: user

• X-OAuth-Scopes lista os escopos autorizados pelo token.
• X-Accepted-OAuth-Scopes lista os escopos verificados pela ação.

Escopos disponíveis

https://github.com/login/oauth/authorize?
  client_id=...&
  scope=user%20repo_deployment

Escopos solicitados e escopos concedidos

O atributo scope lista os escopos anexados ao token que foram concedido pelo usuário. Normalmente, estes escopos são idênticos aos que você solicitou. No entanto, os usuários podem editar os respectivos escopos, permitindo, efetivamente, ao seu aplicativo menos acesso do que você solicitou originalmente. Além disso, os usuários podem editar os escopos do token depois que o fluxo do OAuth for concluído. Você deve estar ciente dessa possibilidade e ajustar o comportamento do seu aplicativo de acordo.

É importante lidar com casos de erro em que um usuário opta por permitir menos acesso do que você solicitou originalmente. Por exemplo, os aplicativos podem alertar ou comunicar os usuários de que eles terão a funcionalidade reduzida ou não poderão realizar algumas ações.

Além disso, os aplicativos sempre podem enviar os usuários novamente por meio do fluxo para obter permissão adicional, mas não se esqueça de que os usuários sempre podem recusar isso.

Confira o guia Conceitos básicos sobre autenticação, que fornece dicas sobre como lidar com escopos de token modificáveis.

Escopos normalizados

Quando vários escopos são solicitados, o token é salvo com uma lista normalizada de escopos, descartando aqueles que estão implicitamente incluídos pelo escopo solicitado. Por exemplo, a solicitação de user,gist,user:email resultará em um token somente com os escopos user e gist, pois o acesso permitido com o escopo user:email está incluído no escopo user.