Создание пользовательского OAuth2 Grant Type

Question

Я создаю приложение для телефона. Процесс авторизации должен быть следующим образом. Когда пользователь не войдет в систему, ему будет предложено ввести номер телефона (например, в WatsApp, Viber и т. Д.), А после того, как он войдет в номер телефона, SMS-сообщение будет отправлено пользователю с 8-значным кодом подтверждения. Когда пользователь вводит код, для него создается токен доступа OAuth2 и токен обновления, и 8-битный код подтверждения удаляется из базы данных. Если пользователь выходит из системы, ему необходимо снова выполнить тот же процесс.

Я хочу использовать метод авторизации пароля, так как я являюсь владельцем ресурса. Однако, поскольку у меня нет пароля во время процесса аутентификации, я действительно не знаю, с какими параметрами нужно создать токен для него. Хорошей практикой является создание нового типа предоставления oauth2 - назовите его «confirm_code», и его параметрами будут client_id, client_secret, username и confirm_code?

Answer 1

Используйте OAuth 2.0 «Credentials Credentials Credentials», согласно спецификации на http://tools.ietf.org/html/rfc6749. Ваш идентификатор пользователя - это номер телефона, пароль - 8-значный код подтверждения, который вы им отправили.

Звонок для регистрации номера телефона, который вызывает отправку SMS, явно не должен быть аутентифицирован.

В качестве альтернативы используйте обычный «Допуск на авторизационный код». На странице входа в систему выполните необходимые шаги. Сначала попросите номер телефона и отправьте SMS-сообщение. Затем запросите код подтверждения. Это может иметь некоторые преимущества безопасности. Основное отличие от вышеописанного метода состоит в том, что (часть) пользовательский интерфейс обслуживается как HTML сервером авторизации, тогда как с предоставлением учетных данных для пароля весь пользовательский интерфейс обслуживается приложением (клиент OAuth).

Обратите внимание, что на странице, обслуживаемой сервером авторизации, вы можете включить несколько методов проверки подлинности. Например, вы можете предложить ввести обычный пароль и только отправить SMS, если пароль не был введен. Поскольку это обычное веб-приложение, вы в принципе можете делать все возможное в веб-приложении. Грант авторизации завершается только тогда, когда сервер авторизации перенаправляется обратно в клиентское приложение.