Otorisasi akun dengan PKCE

1. Hasilkan state acak secara kriptografis dan PKCE verifier baru untuk setiap otorisasi. Hitung tantangan S256.
2. Alihkan ke endpoint otorisasi dengan client_id, redirect_uri yang tepat, response_type=code, scope, state, code_challenge, dan code_challenge_method=S256.
3. Pelanggan masuk, memilih akun pribadi atau organisasi mereka, meninjau scope, dan menerima rencana pembayaran apa pun.
4. Verifikasi state di callback Anda. Tukarkan kode satu kali, dengan redirect URI asli dan code_verifier.
5. Simpan token dengan aman. Gunakan subjek yang dikembalikan yang terikat pada client sebagai pengenal pelanggan.

curl --fail-with-body 'https://auth.shareai.now/oauth/token'   --data-urlencode 'grant_type=authorization_code'   --data-urlencode "client_id=$SHAREAI_CLIENT_ID"   --data-urlencode "code=$AUTHORIZATION_CODE"   --data-urlencode 'redirect_uri=https://your-app.example/callback'   --data-urlencode "code_verifier=$PKCE_VERIFIER"

Contoh ini untuk public client. Jangan tambahkan secret atau kredensial HTTP Basic. Client confidential mengautentikasi menggunakan kredensial client server-side-nya selain PKCE. Jangan pernah menyertakan secret confidential dalam distribusi browser, desktop, mobile, atau self-hosted.

Penemuan: https://auth.shareai.now/.well-known/openid-configuration. Gunakan endpoint dan kunci penandatanganan yang diiklankan. Tolak ketidaksesuaian state, issuer yang tidak diharapkan, serta audiens atau tanda tangan ID-token yang tidak valid.

Standar: Praktik terbaik keamanan OAuth dan PKCE. Token penyegaran.