OAuth mendelegasikan akses, bukan membuktikan identitas

Tombol Login with Google sering dikira OAuth murni padahal identitasnya berasal dari lapisan OpenID Connect.

OAuth hanya mendelegasikan akses terbatas, sehingga pembuktian identitas membutuhkan lapisan autentikasi terpisah.

RFC 6749 memosisikan OAuth sebagai framework akses pihak ketiga atas nama resource owner.

Authorization Code dengan PKCE menjadi baseline browser dan native menurut RFC 9700 tentang keamanan terkini.

Scope dan audience harus sempit agar kebocoran satu token tidak membuka seluruh resource pengguna.

Jika JWT adalah format klaim, bukan strategi autentikasi dipakai sebagai access token, delegasi tetap butuh validasi ketat. SSO adalah hasil federation, bukan satu protokol dibangun dari delegasi aman semacam itu.

OAuth tepat untuk delegasi API sedangkan OIDC tepat untuk login federatif yang terverifikasi.