Autorisez un compte avec PKCE

1. Générez un état cryptographiquement aléatoire et un nouveau vérificateur PKCE pour chaque autorisation. Calculez le défi S256.
2. Redirigez vers le point de terminaison d'autorisation avec client_id, redirect_uri exact, response_type=code, scope, state, code_challenge et code_challenge_method=S256.
3. Le client se connecte, sélectionne son compte personnel ou organisationnel, examine les autorisations et accepte tout plan de facturation.
4. Vérifiez l'état dans votre callback. Échangez le code une seule fois, avec l'URI de redirection original et le code_verifier.
5. Stockez les jetons en toute sécurité. Utilisez le sujet renvoyé, limité au client, comme identifiant du client.

curl --fail-with-body 'https://auth.shareai.now/oauth/token'   --data-urlencode 'grant_type=authorization_code'   --data-urlencode "client_id=$SHAREAI_CLIENT_ID"   --data-urlencode "code=$AUTHORIZATION_CODE"   --data-urlencode 'redirect_uri=https://your-app.example/callback'   --data-urlencode "code_verifier=$PKCE_VERIFIER"

Cet exemple concerne un client public. N'ajoutez pas de secret ou d'identifiants HTTP Basic. Un client confidentiel s'authentifie en utilisant ses identifiants client côté serveur en plus de PKCE. Ne distribuez jamais un secret confidentiel dans des distributions navigateur, desktop, mobile ou auto-hébergées.

Découverte : https://auth.shareai.now/.well-known/openid-configuration. Utilisez les points de terminaison et les clés de signature annoncés. Rejetez les incohérences d'état, les émetteurs inattendus et les audiences ou signatures de jetons ID non valides.

Normes : Bonnes pratiques de sécurité OAuth et PKCE. Jetons de rafraîchissement.