Autorisieren Sie ein Konto mit PKCE

1. Generieren Sie für jede Autorisierung einen kryptografisch zufälligen Zustand und einen neuen PKCE-Verifier. Berechnen Sie die S256-Challenge.
2. Weiterleitung zum Autorisierungsendpunkt mit client_id, exakter redirect_uri, response_type=code, scope, state, code_challenge und code_challenge_method=S256.
3. Der Kunde meldet sich an, wählt sein persönliches oder Organisationskonto aus, überprüft die Scopes und akzeptiert gegebenenfalls einen Abrechnungsplan.
4. Überprüfen Sie den Zustand bei Ihrem Callback. Tauschen Sie den Code einmal mit der ursprünglichen Redirect-URI und dem code_verifier aus.
5. Speichern Sie Tokens sicher. Verwenden Sie das zurückgegebene client-spezifische Subjekt als Kundenidentifikator.

curl --fail-with-body 'https://auth.shareai.now/oauth/token'   --data-urlencode 'grant_type=authorization_code'   --data-urlencode "client_id=$SHAREAI_CLIENT_ID"   --data-urlencode "code=$AUTHORIZATION_CODE"   --data-urlencode 'redirect_uri=https://your-app.example/callback'   --data-urlencode "code_verifier=$PKCE_VERIFIER"

Dieses Beispiel ist für einen öffentlichen Client. Fügen Sie kein Geheimnis oder HTTP-Basic-Anmeldedaten hinzu. Ein vertraulicher Client authentifiziert sich mit seinen serverseitigen Client-Anmeldedaten zusätzlich zu PKCE. Geben Sie niemals ein vertrauliches Geheimnis in Browser-, Desktop-, Mobil- oder selbst gehosteten Distributionen weiter.

Entdeckung: https://auth.shareai.now/.well-known/openid-configuration. Verwenden Sie die beworbenen Endpunkte und Signaturschlüssel. Lehnen Sie Zustandsabweichungen, unerwartete Herausgeber und ungültige ID-Token-Audiences oder Signaturen ab.

Standards: OAuth-Sicherheitsbest-Practices und PKCE. Refresh Tokens.