Flux de code d’autorisation avec OIDC

Découvrez comment le pipeline conforme à OIDC a une incidence sur le flux de code d’autorisation.

Le flux de code d’autorisation est utilisé par les applications côté serveur qui peuvent stocker des secrets de façon sécuritaire, ou par les applications natives au moyen du flux de code d’autorisation avec PKCE.

Le pipeline conforme à OIDC a une incidence sur le flux de code d’autorisation dans les aspects suivants :

• Requête d’authentification
• Réponse d’authentification
• Requête d’échange de code
• Réponse d’échange de code
• Structure du jeton d’ID
• Structure du jeton d’accès

​

Requête d’authentification

​

Hérité

GET /authorize?
    response_type=code
    &scope=openid email favorite_color offline_access
    &client_id=123
    &state=af0ifjsldkj
    &redirect_uri=https://app.example.com/callback
    &device=my-device-name

Le paramètre device n’est requis que si vous demandez un jeton d’actualisation en incluant la portée offline_access. Pour en savoir plus, consultez Jetons d’actualisation.

​

Conforme à OIDC

GET /authorize?
    response_type=code
    &scope=openid email offline_access
    &client_id=123
    &state=af0ifjsldkj
    &redirect_uri=https://app.example.com/callback
    &audience=https://api.example.com

• favorite_color n’est plus une valeur de scope acceptée.
• Le paramètre device a été supprimé.
• Le paramètre audience est facultatif.

​

Réponse d’authentification

La réponse d’Auth0 est identique dans les deux pipelines :

HTTP/1.1 302 Found
Location: https://app.example.com/callback?
    code=SplxlOBeZQQYbYS6WxSbIA
    &state=af0ifjsldkj

​

Requête d’échange de code - flux de code d’autorisation

Un code d’autorisation peut être échangé de la même manière dans les deux pipelines :

​

Requête d’échange de code - Flux de code d’autorisation avec PKCE

Un code d’autorisation peut être échangé de la même manière dans les deux pipelines :

​

Réponse d’échange de code

​

Ancienne version

HTTP/1.1 200 OK
Content-Type: application/json
Cache-Control: no-store
Pragma: no-cache
{
    "access_token": "SlAV32hkKG",
    "token_type": "Bearer",
    "refresh_token": "8xLOxBtZp8",
    "expires_in": 3600,
    "id_token": "eyJ..."
}

• Le jeton d’accès renvoyé n’est valide que pour effectuer des requêtes vers le point de terminaison /userinfo.
• Un jeton d’actualisation n’est renvoyé que si un paramètre device a été fourni et que la portée offline_access a été demandée.

​

Conforme à OIDC

HTTP/1.1 200 OK
Content-Type: application/json
Cache-Control: no-store
Pragma: no-cache
{
    "access_token": "eyJ...",
    "token_type": "Bearer",
    "refresh_token": "8xLOxBtZp8",
    "expires_in": 3600,
    "id_token": "eyJ..."
}

• Le jeton d’accès renvoyé est valide pour effectuer, au besoin, une requête à l’API indiquée dans le paramètre audience ainsi qu’au point de terminaison /userinfo (à condition que l’API utilise RS256 comme algorithme de signature et que openid soit utilisé comme paramètre scope). Si vous n’implémentez pas votre propre serveur de ressources (API), vous pouvez utiliser https://{$account.namespace}/userinfo comme paramètre audience, ce qui renverra un jeton d’accès opaque.
• Un jeton d’actualisation sera renvoyé uniquement si la portée offline_access a été accordée.

​

Structure d’un jeton d’ID

​

Version antérieure

​

Conforme à OIDC

Le claim favorite_color doit être ajouté à l’aide d’une Auth0 Action. Pour en savoir plus, consultez Créer des claims personnalisés.

​

Structure du jeton d’accès (facultatif)

​

Hérité

HTTP

SlAV32hkKG

Le jeton d’accès renvoyé est opaque et n’est valide que pour appeler le point de terminaison /userinfo.

​

Conforme à OIDC

Le jeton d’accès renvoyé peut servir, au besoin, à appeler l’API indiquée dans le paramètre audience ainsi que le point de terminaison /userinfo (à condition que l’API utilise RS256 comme algorithme de signature et que openid soit utilisé comme paramètre scope).

Si vous n’implémentez pas votre propre serveur de ressources (API), vous pouvez utiliser https://{$account.namespace}/userinfo comme paramètre audience, ce qui renverra un jeton d’accès opaque.

​

Pour en savoir plus

• Jetons d’accès avec OIDC
• API externes avec OIDC
• Flux des informations d’identification du client avec OIDC
• Flux implicite avec OIDC
• Jetons d’actualisation avec OIDC
• Flux du mot de passe du propriétaire de la ressource avec OIDC