Fluxo Authorization Code

Para cada tentativa de login, gere:

• um valor state de alta entropia para associar o pedido ao callback
• um valor nonce para associar as informações de identidade ao pedido
• um code_verifier
• PKCE de alta entropia e um code_challenge, calculado como o resumo SHA-256 do verifier codificado em base64url

Guarde os valores numa transação de curta duração protegida no servidor.

Um callback bem-sucedido contém code e state. Compare state com o valor guardado, utilizando uma comparação de tempo constante sempre que possível. Rejeite transações ausentes, reutilizadas, expiradas ou não correspondentes.

Um callback sem sucesso contém error e pode conter error_description. Registe apenas um identificador de correlação interno seguro e apresente ao utilizador uma mensagem clara que permita tentar novamente.

Envie um pedido de formulário de servidor para servidor:

As credenciais do cliente também podem ser aceites no corpo do formulário quando essa opção estiver configurada, mas HTTP Basic mantém as credenciais separadas dos parâmetros do grant.

Utilize a resposta para criar uma sessão local no site e, em seguida, elimine a transação OAuth de utilização única.

Troque um refresh token válido com grant_type=refresh_token em /oauth2/token. Guarde os refresh tokens apenas no servidor. Quando a integração já não precisar de um token, revogue-o em /oauth2/revoke e invalide a sessão local.