Passer au contenu principal
Le flux de code d’autorisation (défini dans OAuth 2.0 RFC 6749, section 4.1) consiste à échanger un code d’autorisation contre un jeton. Ce flux ne peut être utilisé que pour des applications confidentielles (comme les applications Web traditionnelles), car les méthodes d’authentification de l’application sont incluses dans l’échange et doivent être protégées.

​
Fonctionnement du flux de code d’autorisation

Auth - Flux de code d’autorisation - Diagramme de séquence d’autorisation
  1. L’utilisateur sélectionne Connexion dans l’application.
  2. Le SDK d’Auth0 redirige l’utilisateur vers le serveur d’autorisation Auth0 (point de terminaison /authorize).
  3. Le serveur d’autorisation Auth0 redirige l’utilisateur vers l’invite de connexion et d’autorisation.
  4. L’utilisateur s’authentifie à l’aide de l’une des options de connexion configurées et peut voir une invite de consentement énumérant les autorisations qu’Auth0 accordera à l’application.
  5. Le serveur d’autorisation Auth0 redirige l’utilisateur vers l’application avec un code d’autorisation à usage unique.
  6. Le SDK d’Auth0 envoie le code d’autorisation, l’ID client de l’application et les informations d’identification de l’application, comme le Secret client ou Private Key JWT, au serveur d’autorisation Auth0 (point de terminaison /oauth/token).
  7. Le serveur d’autorisation Auth0 vérifie le code d’autorisation, l’ID client de l’application et les informations d’identification de l’application.
  8. Le serveur d’autorisation Auth0 renvoie un jeton d’identité et un jeton d’accès (et, facultativement, un jeton d’actualisation).
  9. L’application peut utiliser le jeton d’accès pour appeler une API afin d’accéder à des renseignements sur l’utilisateur.
  10. L’API renvoie les données demandées.

​
Comment implémenter le flux de code d’autorisation

La façon la plus simple d’implémenter le flux de code d’autorisation consiste à suivre notre guide de démarrage rapide pour les applications Web régulières. Vous pouvez aussi utiliser l’Authentication API pour implémenter le flux de code d’autorisation. Pour en savoir plus, consultez Ajouter la connexion à l’aide du flux de code d’autorisation ou Appeler votre API à l’aide du flux de code d’autorisation.
Si une application exécutée dans le navigateur, avec un en-tête Origin, envoie une requête POST au point de terminaison /oauth/token, Auth0 n’émet pas de jetons d’actualisation, même si l’application a activé Allow Refresh Token Rotation et envoie le scope offline_access.

​
Pour en savoir plus