GabaritoE — Errado
❌ ERRADO. O OAuth 2.0 foi projetado justamente para que serviços de terceiros acessem dados de um usuário sem que a senha do usuário seja exposta ou compartilhada. Em vez disso, o acesso é concedido por meio de tokens de acesso emitidos pelo servidor de autorização, após o consentimento do usuário. A afirmação do item, portanto, contraria o princípio fundamental do protocolo.
O OAuth 2.0 é um protocolo de autorização (delegação de acesso), não de autenticação. Ele permite que uma aplicação cliente acesse recursos protegidos em nome do usuário (resource owner) sem que o cliente jamais veja ou receba a senha do usuário. O fluxo típico envolve quatro atores: o Resource Owner (usuário), o Client (aplicação de terceiros), o Authorization Server (servidor que autentica o usuário e emite tokens) e o Resource Server (servidor que hospeda os dados protegidos). O usuário se autentica diretamente no Authorization Server (por exemplo, Google ou Facebook), que então emite um access token para o cliente. O cliente usa esse token para acessar os recursos no Resource Server. A senha do usuário fica restrita ao Authorization Server — nunca é repassada ao cliente.
Essa é a essência do modelo de delegação: o usuário delega ao cliente uma autorização limitada (definida por escopos), sem abrir mão de suas credenciais. O OAuth 2.0 substitui o uso direto de login e senha por tokens, que têm validade curta e podem ser revogados. O OpenID Connect (OIDC) é uma camada de autenticação construída sobre o OAuth 2.0, que adiciona o ID Token para identificar o usuário, mas também sem expor a senha.
A pegadinha da banca está em inverter o propósito central do OAuth: ele existe para evitar a exposição de senhas, não para causá-la. O candidato que conhece apenas o nome do protocolo pode associá-lo erroneamente a um mecanismo que "compartilha credenciais", quando na verdade o OAuth foi criado exatamente para eliminar essa prática insegura (que era comum antes dele, quando aplicativos pediam a senha do usuário diretamente para acessar seus dados em outro serviço).
A banca inverte o objetivo do OAuth 2.0. O protocolo foi criado justamente para evitar que a senha do usuário seja exposta a terceiros — o acesso é feito por tokens. Quem não domina o conceito pode cair na armadilha de achar que "delegação de acesso" implica compartilhar a senha, quando o correto é o oposto.
A afirmação diz que o OAuth 2.0 "expõe a senha do usuário". Isso é falso. O OAuth 2.0 é um padrão de autorização delegada que permite que um aplicativo acesse recursos em nome do usuário sem compartilhar suas credenciais. O acesso é feito por meio de tokens de acesso (access tokens), emitidos pelo servidor de autorização após o consentimento do usuário. A senha do usuário é usada apenas para autenticação no servidor de autorização e nunca é repassada ao cliente. O item está errado.
Gabarito: letra E (ERRADO).
Link permanente: /questoes/ce418209