Configureer en gebruik de aangepaste OAuth 2-toepassingen van uw organisatie met PKCE-stroom

Laatst bijgewerkt: 18 juli 2024
  • Onderwerpen:

Gemaakt voor:

  • Ontwikkelaar

PKCE is een veilige autorisatiestroom die goed werkt bij dynamisch vernieuwende toepassingen zoals mobiele apps, maar waardevol is voor alle OAuth2-clients. In plaats van een statisch clientgeheim gebruikt PKCE een dynamisch gegenereerde tekenreeks, waardoor het risico van een gelekt clientgeheim wordt verwijderd.

PKCE-overzicht

Een PKCE-stroom heeft de volgende stappen. De stappen in deze sectie worden alleen ter informatie weergegeven. Zie andere secties in dit artikel voor informatie over het uitvoeren van deze procedures.

  1. De client maakt de code_challenge door de code_verifier using S256 -codering te transformeren.

  2. De client stuurt de browser samen met de gegenereerde code_challenge naar de aanmeldingspagina van OAuth2. U moet uw app (Client) registreren zodat OAuth2 de autorisatieaanvraag kan accepteren. Na registratie kan uw toepassing de browser omleiden naar OAuth2.

  3. De OAuth2 Server van de Vergunning leidt de authentificatieherinnering aan de Gebruiker opnieuw.

  4. De gebruiker verklaart zich gebruikend één van de gevormde login opties voor authentiek, en kan een toestemmingspagina zien die van de toestemmingen OAuth2 aan de toepassing een lijst maakt.

  5. OAuth2 leidt terug naar uw toepassing met authorization code.

  6. Uw toepassing verzendt deze code samen met de code_verifier naar OAuth2.

  7. OAuth2 Authorization Server transformeert code_verifier gebruikend code_challenge_method van het aanvankelijke vergunningsverzoek, en controleert het resultaat tegen code_challenge. Als de waarde van beide tekenreeksen overeenkomt, heeft de server gecontroleerd of de aanvragen afkomstig zijn van dezelfde client en geeft deze een access token uit.

  8. OAuth2 retourneert de access token en optioneel een refresh token .

  9. Uw toepassing kan deze tokens nu gebruiken om de resourceserver, zoals een API, namens de gebruiker aan te roepen.

  10. De bronserver valideert het token voordat wordt gereageerd op het verzoek.

Uw toepassing configureren

Voordat u autorisatie kunt implementeren, moet u uw app registreren in OAuth2 door een app-integratie te maken vanuit Workfront.

Voor instructies bij het creëren van de toepassing OAuth2, zie een OAuth2 enig-pagina Webtoepassing gebruikend PKCEin creëren toepassingen OAuth2 voor de integratie van Workfront

NOTE
U kunt tot een totaal van tien Toepassingen OAuth2 in één keer hebben.

Proefsleutel maken voor Codeuitwisseling

Net als bij de standaardstroom van de machtigingscode, begint de app met het doorsturen van de browser van de gebruiker naar het /authorize -eindpunt van de machtigingsserver. In deze instantie moet u echter ook een code-uitdaging doorgeven.

Uw eerste stap is het produceren van een code verificateur en uitdaging.

Code-verificateurWillekeurige URL-veilige tekenreeks met een minimale lengte van 43 tekens
CodeuitdagingBase64 URL-gecodeerde SHA-256-hash van de codeverificateur

U moet code toevoegen in uw clienttoepassing om de code-verificateur en de code-uitdaging te maken.

De PKCE-generatorcode maakt uitvoer die vergelijkbaar is met het volgende:

INFO
Voorbeeld:
{
  "code\_verifier":"N28zVMsKU6ptUjHaYWg3T1NFTDQqcW1R4BU5NXywapNac4hhfkxjwfhZQat",
  "code\_challenge":"wzgjYF9qEiWep-CwqgrTE78-2ghjwCtRO3vj23o4W\_fw"
}

Uw app slaat de code_verifier for later op en verzendt de code_challenge samen met de autorisatieaanvraag naar de URL /authorize van de machtigingsserver.