Mag-authorize ng account gamit ang PKCE

1. Bumuo ng isang cryptographically random na estado at isang bagong PKCE verifier para sa bawat awtorisasyon. I-compute ang S256 challenge.
2. I-redirect sa authorization endpoint gamit ang client_id, eksaktong redirect_uri, response_type=code, scope, state, code_challenge at code_challenge_method=S256.
3. Mag-sign in ang customer, piliin ang kanilang personal o organisasyong account, suriin ang mga scope at tanggapin ang anumang billing plan.
4. I-verify ang estado sa iyong callback. Palitan ang code nang isang beses, gamit ang orihinal na redirect URI at code_verifier.
5. Itago nang ligtas ang mga token. Gamitin ang ibinalik na client-scoped subject bilang identifier ng customer.

curl --fail-with-body 'https://auth.shareai.now/oauth/token'   --data-urlencode 'grant_type=authorization_code'   --data-urlencode "client_id=$SHAREAI_CLIENT_ID"   --data-urlencode "code=$AUTHORIZATION_CODE"   --data-urlencode 'redirect_uri=https://your-app.example/callback'   --data-urlencode "code_verifier=$PKCE_VERIFIER"

Ang halimbawang ito ay para sa isang pampublikong client. Huwag magdagdag ng secret o HTTP Basic credentials. Ang kumpidensyal na client ay nag-a-authenticate gamit ang server-side client credentials nito bilang karagdagan sa PKCE. Huwag kailanman ipadala ang kumpidensyal na secret sa browser, desktop, mobile o self-hosted distributions.

Discovery: Pagtuklas https://auth.shareai.now/.well-known/openid-configuration. Gamitin ang mga advertised endpoint at signing keys. Tanggihan ang mga hindi tugmang estado, hindi inaasahang issuer at invalid na ID-token audience o signature.

Mga Pamantayan: Mga pinakamahusay na kasanayan sa seguridad ng OAuth at PKCE. Refresh tokens: Mga token ng pag-refresh.