Skip to main content

​
Endpoint

POST /oauth/par
Para usar las funciones de Highly Regulated Identity, debe contar con un plan Enterprise y el add-on Highly Regulated Identity. Consulte Auth0 Pricing para obtener más información.
El Flujo de código de autorización con solicitudes de autorización push (PAR) usa el endpoint /oauth/par para permitir que las aplicaciones envíen los parámetros de autorización que normalmente se envían en una solicitud GET a /authorize. PAR usa un método POST desde el backend para mantener seguros los valores de los parámetros. El endpoint /oauth/par acepta todos los parámetros de autorización que pueden proporcionarse a /authorize. Si la llamada al endpoint /oauth/par es válida, Auth0 responderá con un valor redirect_uri que puede usarse como parámetro para el endpoint /authorize. Si la llamada al endpoint /oauth/par es válida, Auth0 responderá con un valor redirect_uri que también se usa como parámetro para el endpoint /authorize. Para obtener más información sobre cómo configurar PAR, consulte Configurar solicitudes de autorización push (PAR).

​
Observaciones

  • Para llamar al endpoint PAR, debe:
    • Establecer el tipo de contenido de la solicitud en application/x-www-form-urlencoded
    • Usar cadenas para todos los parámetros enviados
    • Incluir en la solicitud un parámetro adicional para la autenticación de la aplicación (por ejemplo, client_secret, o client_assertion y client_assertion_type para la autenticación de cliente mediante JSON Web Token, o enviar los encabezados client-certificate y client-certificate-ca-verified cuando use Mutual TLS).
  • Use el parámetro authorization_details para solicitar permisos para cada recurso. Por ejemplo, puede especificar un array de objetos JSON para transmitir información detallada sobre la autorización. Cada objeto JSON debe contener un atributo type. El resto queda a su criterio.

​
Encabezados

​
string
Una prueba de DPoP para la solicitud. Es opcional y solo se requiere si su aplicación usa DPoP (Demonstrating Proof-of-Possession).

​
Parámetros del cuerpo

​
string
Permisos solicitados para cada recurso, similares a los alcances.
​
string
El identificador único de la API de destino a la que quiere acceder.
​
string
El identificador de la API de destino (servidor de recursos) a la que quiere acceder. Debe coincidir con un identificador de API registrado en su inquilino de Auth0. Se usa como alternativa a audience cuando el perfil de compatibilidad del parámetro Resource del inquilino está configurado como compatibility.
​
string
requerido
Especifica el tipo de token, por ejemplo, code o code id_token. Obligatorio.
​
string
requerido
El client_id de su aplicación. Obligatorio.
​
string
requerido
La URL a la que Auth0 redirigirá una vez concedida la autorización. Obligatorio.
​
string
Un valor opaco que se usa para evitar ataques CSRF. Recomendado.
​
string
Alcances de OIDC y alcances personalizados de la API. Recomendado.
​
string
Desafío generado a partir de code_verifier. Recomendado.
​
string
Método usado para generar el desafío, normalmente S256. Recomendado.
​
string
Se usa para evitar ataques de reproducción de tokens. Recomendado para response_type=id_token.
​
string
El nombre de la conexión configurada para su aplicación.
​
string
Se usa para forzar una pantalla específica, por ejemplo, prompt=consent.
​
string
ID de la organización que se usará al autenticar a un usuario.
​
string
La huella digital JWK RFC7638 de la clave pública de prueba de posesión, mediante la función hash SHA-256. Solo cuando se usa Demonstrating Proof-of-Possession (DPoP).

​
Esquema de la respuesta

​
Mensajes de respuesta