Blog

Mert Özen'in yazılım geliştirme, backend, frontend ve DevOps üzerine blog yazıları.

Seriler

.NET Core Web API 36 Angular 31 JavaScript Temel 19 JavaScript Orta 18 JavaScript İleri 16 TypeScript Temel 14 TypeScript Orta 14 TypeScript İleri 12 Entity Framework Core 28 Dapper 16 Git & GitHub 29 Web Güvenliği (OWASP Top 10) 21 LLM Temelleri 20 C# Temelleri 20 C# ile Nesne Yönelimli Programlama 16 C# Koleksiyonlar ve Generics 11 LINQ 17 C# Asenkron Programlama 17 C# İleri Seviye 14 C# Sürümleri 6 Çözüm Desenleri 22 SOLID ve Design Principles 12 Clean Code 14 Design Patterns 25 UML ve Modeling 18 Mimariye Giriş 9 Clean, Onion ve Hexagonal Architecture 8 Vertical Slice Architecture 6 Domain-Driven Design 13 CQRS ve Event Sourcing 10 Messaging ve Event-Driven Architecture 9 Modular Monolith 3 Microservices 11 UI Mimari Pattern'leri 9 Architecture Decision'lar 7 System Design 15 Distributed Systems Temelleri 11 Background Job'lar ve Scheduled Job'lar 11 Message Queue'larla Çalışmak 14 .NET'te Logging 10 Caching 10 Real-time Uygulamalar 9 ASP.NET Core MVC ve Razor Pages 13 CI/CD Temelleri 8 GitHub Actions 16 Jenkins 12 Web Server'lar ve Hosting 12 Deployment Stratejileri 9 Kubernetes 19 Authentication ve Authorization 18 ASP.NET Core Güvenliği 8 Frontend Güvenliği 9 API Güvenliği (OWASP API Top 10) 11 .NET ile Yapay Zeka 14 RAG 13 AI Agent'ları ve MCP 14 Test Stratejisi 4 Unit Test 13 SDLC (Software Development Life Cycle) 6 Agile Mindset 6 Scrum 11 Kanban 7 Product Management'a Giriş 9 SEO Temelleri 7 Teknik SEO 12 GEO (Generative Engine Optimization) 7 Algoritmalar ve Data Structures 22 Debugging ve Problem Çözme 13

4 yazı bulundu #oauth

En yeni En eski Popüler

Güvenlik SERİ 10

OAuth 2.0'ın Mantığı: Roller, Grant Type'lar, Scope'lar ve RFC 9700 ile OAuth 2.1'in Getirdikleri

OAuth 2.0 bir giriş protokolü değil, yetki devri protokolüdür. Dört rolü ve front/back channel ayrımını, confidential ve public client farkını, authorization code, client credentials ve device grant'i Keycloak lab'ında .NET 10 koduyla çalıştırıyor; implicit ve password grant'in neden kaldırıldığını, RFC 9700'ün ve OAuth 2.1 draft'ının getirdiklerini ve access token'ın neden giriş kanıtı olmadığını gösteriyoruz.

8 Kas 2026 11 dk 4

Güvenlik SERİ 11

Authorization Code Flow + PKCE Adım Adım: state, nonce, PAR ve Keycloak ile HTTP Trafiğini Okumak

PKCE, front channel'dan geçen code'u onu isteyen client'a bağlar; çalınan code verifier olmadan işe yaramaz. Keycloak lab'ında akışı curl'le adım adım okuyor, state ve nonce'un neyi engellediğini, yanlış verifier'dan sonra code'un yandığını ve redirect URI'nin neden birebir eşleşmesi gerektiğini gösteriyor; sonra PAR ile parametreleri back channel'a taşıyıp ASP.NET Core'un OIDC handler'ını uçtan uca izliyoruz.

8 Kas 2026 11 dk 5

Güvenlik SERİ 13

API'yi Korumak: Access Token Doğrulama, Audience, Scope Policy'leri, Client Credentials ve DPoP

API, imzası geçerli her token'ı değil, yalnız kendi audience'ı için verilmiş ve gereken scope'u taşıyan token'ı kabul etmelidir. AddJwtBearer'ı Keycloak'a bağlıyor, scope'tan policy'ye eşliyor, çıkış yapan kullanıcının JWT'sinin neden hâlâ geçtiğini introspection ile gösteriyor, client credentials token'ını cache'leyen bir DelegatingHandler yazıyor ve DPoP ile çalınan token'ın işe yaramadığını beş senaryoda doğruluyoruz.

8 Kas 2026 13 dk 3

Güvenlik SERİ 15

Authorization Server Seçimi: OpenIddict, Duende IdentityServer, Keycloak ve Microsoft Entra ID Karşılaştırması

Doğru authorization server ekibinin neyi işletebileceğine bağlıdır: OpenIddict ve Duende framework, Keycloak ürün, Entra ID managed servis. Üçünü lab'da çalıştırıp discovery dokümanlarından bir yetenek matrisi çıkarıyor, bu matrisin neden dikkatli okunması gerektiğini gösteriyor; lisansları, işletme yükünü, SAML köprüsünü ve kendi authorization server'ını yazmamanın nedenlerini Kasım 2026 bilgisiyle karşılaştırıyoruz.

8 Kas 2026 10 dk 5