Visão geral do SSO do OAuth 2.0
O OAuth 2.0 é uma estrutura de autorização que permite que aplicativos tenham acesso limitado a contas de usuários em um serviço HTTP. Ele funciona delegando a autenticação de usuário ao serviço que hospeda a conta de usuário e autorizando aplicativos de terceiros a acessar a conta de usuário. O OAuth 2.0 fornece fluxos de autorização a celulares ou tablets e aplicativos para desktop e web.
SSO básico
Sejam quais forem as opções de recursos selecionadas, o SSO básico requer alguns dados específicos, em especial uma chave pública. Adicionar implementações de cartão de crédito ou programa de fidelidade exige mais informações.
Informações de configuração
Para configurar o acesso de SSO do OAuth 2.0 ao seu modelo de site, alguns elementos são necessários, incluindo:
- APIs (autorização, token, userProfile)
- ClientId
- Segredo do cliente
- ResponseMode
- isNonceEnabled
- customerDetailsAPIKey (se disponível)
Uma implementação padrão de SSO do OAuth 2.0 na Expedia é criptografada usando a nossa chave pública, cria um ponto de extremidade pós-autorização, habilita o nonce e define parâmetros de escopo. Também incluímos informações de usuário.
Autorização
O ponto de extremidade GET /authorize é usado para autenticação e autorização. Ele retorna uma concessão de autorização ao cliente.
| Campo | Descrição | Tipo de dados | Exemplo do valor | Obrigatório? |
|---|---|---|---|---|
client_id | Identifica o cliente. Deve corresponder ao valor pré-registrado no seu provedor de identidade (IDP). Obtido durante o registro manual do cliente ou por meio da API de registro dinâmico do cliente. | Sequência | Sim | |
nonce | Usado para mitigar ataques de repetição. Esse valor é retornado no token de ID. | Sequência | Sim | |
prompt | O tipo de interação necessário para validação. | Sequência | Valores válidos: none consent | Não |
redirect_uri | Local de callback para onde o código de autorização ou tokens devem ser enviados. Deve corresponder ao valor pré-registrado no seu IDP durante o registro do cliente. | Sequência | Sim | |
response_type | Valor do code (IDP). | Sequência | Sim | |
response_mode | Como a resposta de autorização deve ser retornada. | Sequência | Valor válido: query | Não |
scope | Token de acesso, usado para buscar detalhes de perfil. Obrigatório para solicitações de autenticação. | Sequência | OpenID, profile e email | Sim |
state | O estado da interação. Esse valor é retornado no token e permite que o usuário clique, faça a autenticação e retorne à página em que estava interessado. O valor pode conter caracteres alfanuméricos, vírgula, ponto, sublinhado e hífen. | Sequência | Sim |
Parâmetros de resposta
| Parâmetro | Descrição | Tipo de dados | Obrigatório? |
|---|---|---|---|
code | Código de autorização que identifica o cliente. Deve corresponder ao valor pré-registrado no seu IDP. Obtido durante o registro manual do cliente ou por meio da API de registro dinâmico do cliente. | Sequência | Sim |
state | O estado da interação. Esse valor é retornado no token e permite que o usuário clique, faça a autenticação e retorne à página em que estava interessado. O valor pode conter caracteres alfanuméricos, vírgula, ponto, sublinhado e hífen. | Sequência | Sim |
Tokens
O ponto de extremidade POST /token é usado para verificar a identidade do usuário apresentando uma concessão de autorização.
Parâmetros de solicitação
| Parâmetro | Descrição | Tipo de dados | Exemplo do valor | Obrigatório? |
|---|---|---|---|---|
grant_type | O mecanismo que o seu IDP usa para autorizar a criação dos tokens. | Sequência | authorization_code | Sim |
redirect_uri | Especifica o local de callback para onde a autorização foi enviada. Esse valor deve corresponder ao redirect_uri usado para gerar o authorization_code original. | Sequência | Sim | |
code | Código de identificação do cliente recebido na resposta da chamada de /authorize. | Sequência | Sim |
Cabeçalhos de solicitação
| Parâmetro | Descrição | Tipo de dados | Exemplo do valor | Obrigatório? |
|---|---|---|---|---|
accept | Deve ser "application/json". | Sequência | application/json | Sim |
authorization | Codifica o ID e o segredo do cliente com Base64. Use as informações codificadas no cabeçalho de autorização HTTP. | Sequência | Basic<Base64 encoded client ID and secret> | Sim |
Content-Type | Deve ser "application/x-www-form-urlencoded". | Sequência | application/x-www-form-urlencoded | Sim |
Propriedades de resposta
| Campo | Descrição | Tipo de dados |
|---|---|---|
access_token | Um token de acesso. | Sequência |
token_type | O público do token. | Sequência |
expires_in | O tempo de expiração do token de acesso em segundos. | Inteiro |
scope | Os escopos contidos no token de acesso. | Sequência |
id_token | Um identificador que é retornado se o escopo de OpenID for concedido. | Sequência |
Token de ID
O ID_token é um JSON Web Token (JWT) que inclui partes de informações de autenticação chamadas de declarações. As soluções de modelo da Expedia usam as declarações header, payload e signature.
Declarações de cabeçalho
| Campo | Descrição | Tipo de dados | Obrigatório? |
|---|---|---|---|
alg | Identifica o algoritmo de assinatura digital utilizado, que é sempre RS256. | Sequência | Não |
kid | ID da chave: identifica a chave pública usada para verificar o token de ID. A chave pública correspondente pode ser encontrada por meio do JSON Web Key Set (JWKS). | Sequência | Sim |
Declarações de conteúdo
| Campo | Descrição | Tipo de dados | Obrigatório? |
|---|---|---|---|
amr | Matriz JSON de sequências que são identificadores para métodos de autenticação. | Matriz | Não |
aud | Identifica o público ao qual o token de ID se destina, ou seja, um dos IDs de cliente do OAuth 2.0 do seu aplicativo. | Sequência | Sim |
auth_time | O tempo em que o usuário final foi autenticado, representado em hora Unix (segundos). | Inteiro | Não |
exp | O tempo em que o token de ID expira, representado em hora Unix (segundos). | Inteiro | Sim |
iat | O tempo em que o token de ID foi emitido, representado em hora Unix (segundos). | Inteiro | Não |
idp | Um indicador do provedor de identidade. | Sequência | Sim |
iss | A URL do servidor de autorização que emitiu o token de ID. | Sequência | Não |
jti | Um identificador exclusivo do token de ID para fins de depuração e revogação. | Sequência | Sim |
sub | Um identificador exclusivo do sujeito da chamada de autorização, ou seja, o usuário. | Sequência | Não |
ver | A versão semântica do token de ID. | Inteiro | Sim |
Declarações de assinatura
Validação da assinatura: a assinatura será validada em relação à chave apropriada do client_id e do algoritmo.
Inclusão de programas de fidelidade
Como parte do seu modelo de site, você pode oferecer aos seus clientes a capacidade de juntar pontos de fidelidade nas compras de viagens. Se você quiser, o seu modelo também pode permitir que clientes usem pontos de fidelidade acumulados para comprar viagens.
Os mesmos requisitos de configuração da implementação padrão se aplicam, assim como muitos dos valores. Somente os que são diferentes estão incluídos aqui.
Além das informações de usuário padrão, a configuração do programa de fidelidade inclui os seguintes valores.
programAccount
| Campo | Descrição | Obrigatório? |
|---|---|---|
programId | Identificador do programa de fidelidade ao qual o cliente é afiliado ou o nome do nível associado ao programa de fidelidade. | Sim |
loyaltyAccountNumber | Número da conta do programa de fidelidade do cliente. Deve ser preenchido somente se um identificador secundário, diferente do membershipId exclusivo, for necessário para operações do programa de fidelidade. | Não |
lastFourDigitsOfCreditCard | Últimos quatro dígitos do cartão de crédito que o cliente usou na reserva. | Não |
accountName | Nome do programa (se diferente do nome do nível). | Não |
loyaltyConversionRatio | Proporção usada para converter o pagamento em pontos ganhos, por exemplo, R$ 1 = 1 ponto. | Não |
loyaltyAccountBalance | Saldo atual dos pontos de fidelidade ganhos pelo cliente. | Sim |
value | Saldo do programa de fidelidade, aninhado em loyaltyAccountBalance. | Sim |
currency | A moeda usada pelo programa de fidelidade, por exemplo, reais, dólares americanos, pontos ou milhas, aninhada em loyaltyAccountBalance. | Sim |