Flujo estándar de OAuth 2.0

El cliente envía la solicitud de autorización con un conjunto de parámetros de consulta a través del navegador que redirige al punto final de autorización en el servidor de autorización. Así es como se ve la solicitud de muestra

Standard OAuth 2.0 Request:
GET <authorization-endpoint>?
       response_type=code
       &client_id=<client_id>
       &redirect_uri=<callback_url>
       &scope=openid&state=<security_token>



• Puntos finales de OAuth 2.0
1. Punto final de autorización: El punto final de autorización es el punto final en el servidor de autorización donde el propietario del recurso inicia sesión y otorga autorización a la aplicación cliente.


Request:
GET https://authorization-server.com/oauth/authorize
?client_id=<client_id>
&response_type=<code>
&state=<state>
&redirect_uri=<redirect_uri>
&scope=<scope>

Response:
HTTP/1.1 302 Found
Location: https://custom-app.com/redirect?code=g0ZGZmNjVmOWI&state=dkZmYxMzE2

2. Punto final del token: El punto final del token es el punto final en el servidor de autorización donde la aplicación cliente intercambia el código de autorización, el ID del cliente y el secreto del cliente por un token de acceso.


Request:
GET https://authorization-server.com/oauth/token
grant_type=<grant_type>
&code=<code>
&redirect_uri=<redirect_uri>

Response:
HTTP/1.1 200 OK
Content-Type: application/json
 
{
  "access_token":"MTQ0NjJkZmQ5OTM2NDE1ZTZjNGZmZjI3",
  "token_type":"bearer",
  "expires_in":3600,
  "refresh_token":"IwOGYzYTlmM2YxOTQ5MGE3YmNmMDFkNTVk",
  "scope":"create"
}

3. Punto final de información de usuario: El punto final Userinfo devuelve afirmaciones sobre el usuario final autenticado.


Request:
GET https://authorization-server.com/oauth/v1/userinfo
Header:
Authorization : Bearer < access_token / id_token >

Response:
HTTP/1.1 200 OK
Content-Type: application/json

{
 "sub"         : "248289761001",
 "name"        : "testuser"
 "given_name"  : "testuser",
 "email"       : "testuser@custom-app.com",
}

• Tipos de subvenciones admitidos por nuestro complemento para proveedores personalizados
1. Concesión del Código de Autorización
2. Concesión implícita
3. Actualizar la concesión de tokens
4. Concesión de credenciales de propietario de recursos
5. Otorgamiento de credenciales de cliente



• Diferencia entre proveedores de OAuth estándar y personalizados

Solicitud de OAuth estándar	Solicitud de OAuth personalizada
Standard OAuth 2.0 Request: GET <authorization-endpoint>?     response_type=code     &client_id=<client_id>     &redirect_uri=<callback_url>     &scope=openid	Custom OAuth 2.0 Request: GET <authorization-endpoint>?     response_type=code     &client_id=<client_id>

• Existen diferentes requisitos para diferentes proveedores.
Por ejemplo: para algunos proveedores, el parámetro de alcance no es necesario. Algunos proveedores requieren credenciales de cliente solo en el encabezado, mientras que otros las requieren tanto en el encabezado como en el cuerpo. Algunos proveedores envían el token JWT bajo el parámetro del token de acceso. Todos estos casos se manejan en nuestro complemento.