Dies ist eine Blechpresse-Fiktion. OAuth ist kein Zauberwort für „Login mit irgendwas“, und der Consent-Bildschirm ist kein Beichtstuhl, auch wenn er manchmal so riecht.
Der Bildschirm lächelt. Nicht breit, eher dienstlich. „Diese Anwendung möchte auf Ihre Identität zugreifen“, sagt er und hält eine Liste hoch, die so lang ist, dass unten schon die Fußleiste schwitzt. Name. E-Mail. Kalender. Kontakte. Profilbild. Stimmung im Flur, vermutlich.
OAuth-Scopes sind laut OAuth.net ein Mechanismus, um den Zugriff einer Anwendung auf ein Nutzerkonto zu begrenzen. Die Anwendung fordert Scopes an, der Consent-Screen zeigt sie an, und das ausgegebene Token soll nur die erlaubten Bereiche tragen. So die nüchterne Fassung. Die Blechpresse-Fassung: Der Besucher bekommt einen Besucherausweis, aber bitte nicht gleich den Generalschlüsselbund.
OpenID Connect sitzt daneben mit Aktenmappe. Es baut auf OAuth 2.0 auf und beantwortet die Identitätsfrage: Wer ist die Person, die gerade vor dieser Anwendung steht? Dafür gibt es unter anderem ID Token und Claims. Claims, schönes Wort. Als würde die Identität mit kleinen Zetteln aus der Jackentasche fallen.
Im SSO-Wartezimmer wurde die Geduld schon einmal neu authentifiziert, Im SSO-Wartezimmer wird die Geduld neu authentifiziert. Dort ging es um den zentralen Flur. Hier geht es um die höfliche Frage: Darf die neue Anwendung wirklich in den Aktenschrank, oder reicht ein Blick auf den Namenszettel?
Der Consent-Bildschirm ist deshalb kein lästiger Vorhang, sondern ein Vertrag in Miniaturschrift. Schlecht gemacht ist er Klicktapete. Gut gemacht ist er knapp, verständlich, begrenzt und ehrlich. Er sagt nicht „Wir verbessern Ihr Erlebnis“, wenn er eigentlich „Wir lesen Ihre Kontaktliste“ meint.
Natürlich nickt der Mensch trotzdem oft. Man hat ja Termine. Das System weiß das und legt den Button dort hin, wo die Ungeduld wohnt. Genau darum sind sparsame Scopes nicht nur UX, sondern Anstand mit API-Anschluss.
Am Schluss streichelt der Consent-Bildschirm noch einmal die Identität. Ganz kurz nur. Angeblich. Im Protokoll steht später: Zugriff erteilt. Die Blechpresse ergänzt handschriftlich: Zugriff verstanden? Eher nicht.
Faktenanker: OAuth.net Scopes, OpenID Foundation OIDC. Fiktionale Szene, technische Aussagen gegen die genannten Quellen geprüft.