Flux de code d’autorisation avec des requêtes d’autorisation sécurisées par JWT (JAR)

​

Prérequis

1. Générer une paire de clés RSA
2. Enregistrer la clé publique en la téléversant dans l’Auth0 Dashboard, comme décrit dans Configurer les requêtes d’autorisation sécurisées par JWT

​

Fonctionnement

• Signature : l’application cliente signe le JWT à l’aide de sa clé privée.
• Vérification : serveur d’autorisation Auth0 reçoit le JWT et vérifie la signature à l’aide de la clé publique que vous avez enregistrée.
• Traitement : s’il est valide, serveur d’autorisation Auth0 extrait les paramètres. Si un paramètre est présent à la fois dans le JAR et dans la chaîne de requête, la valeur du JAR a priorité.

​

Générer la requête JAR

​

En-tête

• alg : L’algorithme utilisé pour signer le JWT. Il doit s’agir de RS256, RS384 ou PS256.
• typ : Le type de JWT. Il doit s’agir de jwt ou de oauth-authz-req+jwt.

​

Payload

• iss : doit contenir le client_id de votre application
• aud : doit contenir le domaine de votre tenant, avec le protocole et une barre oblique à la fin. Par exemple, https://{YOUR_DOMAIN}.auth0.com/

• client_id : doit aussi contenir le client_id de votre application
• response_type : indique à Auth0 quel OAuth 2.0 flux vous voulez utiliser. Utilisez code pour le flux d’octroi de code d’autorisation.

• iat : doit être une date numérique.
• nbf : doit être une date numérique représentant un moment dans le passé.
• exp : doit être une date numérique représentant un moment dans l’avenir.
• jti : doit être une chaîne d’au plus 64 octets.

​

Exemple de code : générer et signer un JAR

const jwt = require('jsonwebtoken');
const crypto = require("crypto");
const fs = require('fs');

const privateKey = fs.readFileSync('{PATH_TO_YOUR_PEM_FILE}');
const client_id = '{YOUR_CLIENT_ID}';
const nonce = crypto.randomBytes(16).toString('hex');

const requestObject = jwt.sign(
{
  iss: client_id,    
  aud: 'https://your_tenant.auth0.com/', // domaine de votre tenant
  client_id,
  response_type: "code",
  scope: "openid profile",
  redirect_uri : "https://myapp.com/callback", // callback URL de votre application
  nonce
},
privateKey,
{
  keyid: '{YOUR_KID}', // valeur facultative du Key ID (kid) de votre clé publique
  algorithm: 'RS256',
  header: {
    typ: 'oauth-authz-req+jwt',
  },
});

console.log(requestObject);

​

Appeler le point de terminaison d’autorisation

1. requête JAR standard : transmettez le JWT signé sous forme de chaîne encodée dans l’URL dans le paramètre de requête.
2. requête d’autorisation poussée : pour une sécurité accrue et pour éviter les contraintes de longueur d’URL, utilisez PAR.

​

Requête JAR standard

1. Ouvrez une nouvelle fenêtre de navigateur.
2. Fournissez votre Client ID dans le paramètre client_id, et le JWT signé et encodé pour une URL dans le paramètre request.

# macOS
open "https://{YOUR_DOMAIN}.auth0.com/authorize?client_id={YOUR_CLIENT_ID}&request={URL_ENCODED_JWT}"

# Windows
explorer "https://{YOUR_DOMAIN}.auth0.com/authorize?client_id={YOUR_CLIENT_ID}&request={URL_ENCODED_JWT}"

​

Requête d’autorisation poussée

1. Envoyez le JAR à l’endpoint /oauth/par au moyen d’une requête POST sur le back-channel.
2. Auth0 renverra un request_uri, que vous pourrez ensuite utiliser pour effectuer une requête à l’endpoint /authorize, comme dans un flux PAR standard.

curl --location 'https://{YOUR_DOMAIN}.auth0.com/oauth/par' \
--header 'Content-Type: application/x-www-form-urlencoded' \
--data-urlencode 'client_id={YOUR_CLIENT_ID}' \
--data-urlencode 'client_secret={YOUR_CLIENT_SECRET}' \
--data-urlencode 'request={JWT}'

​

En savoir plus

• Configurer les requêtes d’autorisation sécurisées par JWT (JAR)