Авторизуйте аккаунт с помощью PKCE

1. Сгенерируйте криптографически случайное состояние и новый PKCE-верификатор для каждой авторизации. Вычислите S256-челлендж.
2. Перенаправьте на конечную точку авторизации с client_id, точным redirect_uri, response_type=code, scope, state, code_challenge и code_challenge_method=S256.
3. Клиент входит в систему, выбирает свою личную или организационную учетную запись, просматривает области доступа и принимает любой тарифный план.
4. Проверьте состояние на вашем callback. Обменяйте код один раз, используя оригинальный redirect URI и code_verifier.
5. Храните токены в безопасности. Используйте возвращенный клиент-ориентированный субъект в качестве идентификатора клиента.

curl --fail-with-body 'https://auth.shareai.now/oauth/token'   --data-urlencode 'grant_type=authorization_code'   --data-urlencode "client_id=$SHAREAI_CLIENT_ID"   --data-urlencode "code=$AUTHORIZATION_CODE"   --data-urlencode 'redirect_uri=https://your-app.example/callback'   --data-urlencode "code_verifier=$PKCE_VERIFIER"

Этот пример предназначен для публичного клиента. Не добавляйте секрет или учетные данные HTTP Basic. Конфиденциальный клиент аутентифицируется, используя свои серверные учетные данные клиента в дополнение к PKCE. Никогда не размещайте конфиденциальный секрет в браузере, на настольных компьютерах, мобильных устройствах или в самостоятельных дистрибутивах.

Обнаружение: https://auth.shareai.now/.well-known/openid-configuration. Используйте рекламируемые конечные точки и ключи подписи. Отклоняйте несоответствия состояния, неожиданных издателей и недействительную аудиторию или подпись ID-токена.

Стандарты: Лучшие практики безопасности OAuth и PKCE. Токены обновления.