Flujo Authorization Code

En cada intento de inicio de sesión, genere:

• un valor state de alta entropía para vincular la solicitud con el callback
• un valor nonce para vincular las afirmaciones de identidad con la solicitud
• un code_verifier
• PKCE de alta entropía y un code_challenge, calculado como el resumen SHA-256 del verifier codificado en base64url

Guarde los valores en una transacción de corta duración protegida en el servidor.

Un callback correcto contiene code y state. Compare state con el valor guardado mediante una comparación de tiempo constante siempre que sea posible. Rechace las transacciones ausentes, reutilizadas, caducadas o que no coincidan.

Un callback fallido contiene error y puede contener error_description. Registre únicamente un identificador de correlación interno seguro y muestre al usuario un mensaje comprensible que le permita volver a intentarlo.

Envíe una solicitud de formulario de servidor a servidor:

Las credenciales del cliente también pueden aceptarse en el cuerpo del formulario cuando así se haya configurado, pero HTTP Basic mantiene las credenciales separadas de los parámetros del grant.

Utilice la respuesta para crear una sesión local en el sitio web y elimine después la transacción OAuth de un solo uso.

Intercambie un refresh token válido con grant_type=refresh_token en /oauth2/token. Guarde los refresh tokens únicamente en el servidor. Cuando la integración ya no necesite un token, revóquelo en /oauth2/revoke e invalide la sesión local.