Introdução
Existem diferentes "caminhos" para "conectar" com oAuth2 e recuperar
um access_token que você vai precisar para consumir sua API. Seja qual
for a maneira como você usa para recuperar o access_token, você irá
obter algo semelhante isto:
{
access_token: "NGM3NDI2OGQ0MTRjMjhkYzY5ZGQ1YjViODhmYzNlZmRiNGI3YjIxN2IxZDcxY2ZjMDI3MmY3NjI2N2ZhODJjYQ"
expires_in: 3600
token_type: "bearer"
scope: null
refresh_token: "MjQyNTM0NjBiMmZlYjY3MGM2OGJmMDllZjE0ZjNhYTMxZmIyN2ZmMGRlOGJlOGUwYjRkZmJkMWU4NmY5NDVlYQ"
}
Iremos apresentar as formas como pode ser usado o grant_type é
importante saber que você pode definir no seu cliente oauth_client uma
ou mais tipos de grant_type para realizar a autenticação, os exemplos
que serão citados são específicos para o FOSOAuthServerBundle:
Nós temos a seguinte situação
Vamos imaginar dois projetos Symfony :
Um back-end com API e banco de dados (FOSRestBundle e FOSOAuthServerBundle com FOSUserBundle),
E um front-end que consome API (HWIOAuthBundle, sem banco de dados), que um dia será substituído por uma implementação JS.
authorization_code
Se o objetivo for se conectar ao front-end com um processo de login igual ao do Facebook, nesse caso, o processo de autenticação deve ser o authorization_code.
grant_type=authorization_code
Nesse ambiente, o front-end é um oauth_client que tenta se conectar ao
back-end.
Você deve criar um oauth_client no back-end para que seja possível realizar a autenticação. Você vai precisar do public_id e secret do cliente criado.
Atenção: Se for pesquisar no banco de dados o public_id, você deve ter em mente que ele é o id do oauth_client.id concatenado com o oauth_client.random_id separados por um sublinhado. Algo parecido com:
1_kj2gjhlice8wkoxwggpok80hk0wcewkwfkk4c4wocawwgc0ko
Entendendo o processo (authorization_code)
O processo "normal" que você tem com Facebook : login, autorização da aplicação e redirecionamento. Nesse ambiente um usuário irá se autenticar no seu servidor através do front-end. Este seria o processo:
- O front-end deve realizar um redirecionamento para um endpoint implementado no back-end que exibirá o formulário de login, com o seu oauth_client id.
- O usuário irá preencher suas o formulário e enviar, e se for válido, por permitir à aplicação "app" (que é o oauth_client, implementado no front-end) o acesso a back-end.
- O usuário é redirecionado ao front-end, com um novo cookie (access_token) que permite ao front-end recuperar dados via API do back-end.
password
Você deseja realizar para o servidor através do seu próprio formulário implementado no front-end as credenciais do cliente e do usuário que está tentando realizar a autenticação, sem etapas de callback onde há os redirecionamentos.
Esse processo não é tão seguro quanto o original implementado pelo
"Facebook/Google/GitHub".
grant_type=password
Você irá obter o access_token do back-end, mas será obtido através de uma única solicitação (sem necessidade de redirecionamento), nesse método você irá enviar tanto os dados para autenticar a aplicação : oauth_client id and secret, quanto os dados do usuário.
your_back/oauth/v2/token?client_id=CLIENT_ID&client_secret=CLIENT_SECRET&grant_type=password&username=USERNAME&password=PASSWORD
Este processo é mais simples, porém seu front-end está armazenando oauth_client secret. É necessário avaliar a questão de segurança, você pode não ter muitos problemas se o seu front-end for PHP ou outra linguagem onde essas informações de autenticação não fiquem visível para o cliente, porém se sua linguagem de front-end for Javascript por exemplo, nesse caso, pode não ser uma boa ideia.
client_credentials
Nessa situação você irá implementar os níveis de acesso direto no cliente e nesse caso não precisará das permissões do usuário, pois os "roles" do cliente que irá restringir o seu acesso.
grant_type=client_credentials
Simples requisição, não é enviado os dados do usuário, você envia apenas os dados para autenticar a aplicação oauth_client id e secret :
your_back/oauth/v2/token?client_id=CLIENT_ID&client_secret=CLIENT_SECRET&grant_type=client_credentials
Isto pode ser útil quando seu back-end está realizado uma requisição
de sua API, onde as credenciais do usuário não são necessárias.
refresh_token
Isso será útil sempre que o seu access_token expirar e você precisar atualizar para que continue a realizar as requisições sem a necessidade de refazer todo processo de autenticação.
grant_type=refresh_token
Este é para obter um novo token válido (que não ainda não tenha expirado) access_token. Como seu token irá expirar em uma hora (esse valor pode ser modificado), você pode pedir para o back-end atualizar :
your_back/oauth/v2/token?client_id=CLIENT_ID&client_secret=CLIENT_SECRET&grant_type=refresh_token&refresh_token=REFRESH_TOKEN
authorization_code
grant_type=authorization_code
O código de autorização é obtida por meio de um servidor de
autorização como um intermediário entre o front-end e o
back-end. Em vez de solicitar autorização diretamente do front-end
, o front-end redireciona o usuário a um servidor de autorização, que, por sua vez redirecionada o cliente de volta para o front-end com o código de autorização.
O servidor de autorização autentica o
usuário e gera a autorização. O cliente só autentica com o a autorização, as credenciais usuário nunca são compartilhadas entre o front-end e back-end.
O código de autorização fornece alguns benefícios de segurança
importantes, tais como a capacidade de autenticar o usuário, bem como
a transmissão do token de acesso diretamente para o front-end sem expor o usuário
Artigo original:
https://gist.github.com/lologhi/7b6e475a2c03df48bcdd