DEVELOPERS / REFERENCE
API Reference
Точки входа для клиентских приложений и административных инструментов. Точные параметры необходимо сверять с релизным schema и discovery работающего сервера.
REFERENCE / ENDPOINTS
Публичные протоколы
OIDC используется приложениями для входа пользователя; важно проверять значения discovery metadata у работающего сервера, а не полагаться на зафиксированные URL.
RULES / SECURITY
Правила работы с API
Не доверяйте decoded JWT
Подпись, issuer, audience, срок действия и алгоритм должны проверяться серверной библиотекой.
PKCE — обязательная защита клиента
Для публичных клиентов используйте Authorization Code Flow и PKCE S256.
Отделяйте Admin API
Не используйте токен пользователя как универсальное административное разрешение.