Ủy quyền tài khoản với PKCE

1. Tạo một trạng thái ngẫu nhiên mã hóa và một PKCE verifier mới cho mỗi lần ủy quyền. Tính toán thử thách S256.
2. Chuyển hướng đến endpoint ủy quyền với client_id, redirect_uri chính xác, response_type=code, scope, state, code_challenge và code_challenge_method=S256.
3. Khách hàng đăng nhập, chọn tài khoản cá nhân hoặc tổ chức của họ, xem xét các phạm vi và chấp nhận bất kỳ gói thanh toán nào.
4. Xác minh trạng thái tại callback của bạn. Trao đổi mã một lần, với URI chuyển hướng ban đầu và code_verifier.
5. Lưu trữ token một cách an toàn. Sử dụng subject được trả về theo phạm vi của client làm định danh khách hàng.

curl --fail-with-body 'https://auth.shareai.now/oauth/token'   --data-urlencode 'grant_type=authorization_code'   --data-urlencode "client_id=$SHAREAI_CLIENT_ID"   --data-urlencode "code=$AUTHORIZATION_CODE"   --data-urlencode 'redirect_uri=https://your-app.example/callback'   --data-urlencode "code_verifier=$PKCE_VERIFIER"

Đây là ví dụ cho một public client. Không thêm secret hoặc thông tin xác thực HTTP Basic. Một client bảo mật xác thực bằng cách sử dụng thông tin xác thực phía máy chủ của nó cùng với PKCE. Không bao giờ đưa secret bảo mật vào trình duyệt, máy tính để bàn, thiết bị di động hoặc các bản phân phối tự lưu trữ.

Khám phá: https://auth.shareai.now/.well-known/openid-configuration. Sử dụng các endpoint và khóa ký được quảng bá. Từ chối các trạng thái không khớp, nhà phát hành không mong đợi và ID-token không hợp lệ về đối tượng hoặc chữ ký.

Tiêu chuẩn: Các thực hành tốt nhất về bảo mật OAuth và PKCE. Mã làm mới.