Authorization Code Flow

Erzeugen Sie für jeden Anmeldeversuch:

• einen hochentropischen state-Wert, der die Anfrage mit dem Callback verknüpft
• einen nonce-Wert, der die Identitätsaussagen mit der Anfrage verknüpft
• einen hochentropischen PKCE-code_verifier
• eine code_challenge, berechnet als Base64URL-codierter SHA-256-Hash des Verifiers

Speichern Sie die Werte in einer kurzlebigen, serverseitig geschützten Transaktion.

Ein erfolgreicher Callback enthält code und state. Vergleichen Sie state nach Möglichkeit mit einer zeitkonstanten Vergleichsfunktion mit dem gespeicherten Wert. Lehnen Sie fehlende, wiederverwendete, abgelaufene oder nicht übereinstimmende Transaktionen ab.

Ein nicht erfolgreicher Callback enthält error und kann error_description enthalten. Protokollieren Sie ausschließlich eine sichere interne Korrelations-ID und zeigen Sie der Nutzerin oder dem Nutzer eine verständliche Meldung mit einer Möglichkeit zur Wiederholung an.

Senden Sie serverseitig eine Formularanfrage:

Client-Zugangsdaten können, sofern konfiguriert, auch im Form-Body akzeptiert werden. HTTP Basic trennt die Zugangsdaten jedoch von den Grant-Parametern.

Erstellen Sie aus der Antwort eine lokale Website-Session und löschen Sie anschließend die einmalige OAuth-Transaktion.

Tauschen Sie ein gültiges Refresh Token mit grant_type=refresh_token unter /oauth2/token aus. Speichern Sie Refresh Tokens ausschließlich auf dem Server. Wenn die Integration ein Token nicht mehr benötigt, widerrufen Sie es unter /oauth2/revoke und machen Sie die lokale Session ungültig.