Fluxo Authorization Code

1. Gerar os valores da transação

Para cada tentativa de login, gere:

• um valor state de alta entropia para associar o pedido ao callback
• um valor nonce para associar as informações de identidade ao pedido
• um code_verifier
• PKCE de alta entropia e um code_challenge, calculado como o resumo SHA-256 do verifier codificado em base64url

Guarde os valores numa transação de curta duração protegida no servidor.

2. Redirecionar para a autorização

3. Validar o callback

Um callback bem-sucedido contém code e state. Compare state com o valor guardado, utilizando uma comparação de tempo constante sempre que possível. Rejeite transações ausentes, reutilizadas, expiradas ou não correspondentes.

Um callback sem sucesso contém error e pode conter error_description. Registe apenas um identificador de correlação interno seguro e apresente ao utilizador uma mensagem clara que permita tentar novamente.

4. Trocar o código

Envie um pedido de formulário de servidor para servidor:

As credenciais do cliente também podem ser aceites no corpo do formulário quando essa opção estiver configurada, mas HTTP Basic mantém as credenciais separadas dos parâmetros do grant.

5. Obter as informações do utilizador

Utilize a resposta para criar uma sessão local no site e, em seguida, elimine a transação OAuth de utilização única.

Renovar e revogar

Troque um refresh token válido com grant_type=refresh_token em /oauth2/token. Guarde os refresh tokens apenas no servidor. Quando a integração já não precisar de um token, revogue-o em /oauth2/revoke e invalide a sessão local.