Développement OAuth
Chargez l’exemple public pour examiner la requête et le retour avant de saisir vos propres valeurs.
Saisissez les valeurs brutes. L’URI de redirection enregistrée est conservée exactement.
Tout est traité dans cet onglet. Les entrées ne sont ni envoyées ni sauvegardées.
response_type=code · flux de code d’autorisation
Conservez le verifier pour la demande de jeton. Seul le challenge entre dans l’URL ; le rapport exclut le verifier.
Un paramètre brut key=value par ligne. Ne préencodez pas les valeurs et ne répétez pas les champs réservés.
Saisissez des valeurs ou chargez l’exemple.
Un port différent ou une barre oblique ajoutée au callback peut bloquer une connexion. Cette page affiche l’URL d’autorisation OAuth à côté des valeurs décodées. Vous pouvez ainsi distinguer un problème de configuration d’un caractère mal encodé dans la chaîne de requête.
Si vous disposez déjà d’un retour de test, collez-le dans la vue d’analyse et renseignez séparément le state conservé pour cette transaction. Les noms répétés restent des lignes distinctes. Un résultat lisible ne prouve jamais que le code ou l’identité reçue est valide.
L’URL d’autorisation OAuth reçoit uniquement le challenge S256 et sa méthode. Le verifier utilisé pour le calcul reste dans son champ ; une copie séparée permet de le conserver pour la demande de jeton. Le rapport exporté ne le contient pas non plus.
Le query et le fragment peuvent tous deux contenir state. La table conserve leur origine et leur ordre. Même deux valeurs identiques restent ambiguës : sélectionner silencieusement la première ferait disparaître une information utile au diagnostic.
Vérifiez le schéma, le port, le chemin, la barre finale et le query de l’URI de redirection. Ne préencodez pas toute l’adresse. Les paramètres supplémentaires utilisent une ligne key=value brute ; un & dans la valeur reste du contenu.
La génération tire 32 octets aléatoires indépendants pour state et pour le verifier. Elle remplace aussi nonce si scope contient openid. Examinez les champs modifiés avant d’appliquer. Un changement de scope ne génère pas une nouvelle transaction à votre insu.
Le mode automatique attend 350 ms après la dernière modification. Désactivez-le pour utiliser le bouton d’exécution ou Ctrl/Cmd+Enter. Les résultats périmés ne sont pas exportables. Les vues gardent leurs entrées, mais le state attendu du callback reste un champ indépendant.
Le redirect_uri complet devient une seule valeur dans la requête. Les paramètres déjà présents sur le point de terminaison sont strictement décodés puis reconstruits avec les champs. Un plus brut dans une valeur supplémentaire devient %2B ; les espaces suivent l’encodage de formulaire.
Le verifier doit comporter 43 à 128 caractères autorisés. Aucun espace n’est supprimé et aucun décodage Base64 ne précède le hachage. Désactiver PKCE retire challenge et méthode de l’adresse tout en conservant le verifier saisi.
Une URL complète, ?query, #fragment ou une chaîne de query seule sont acceptés. %252F devient %2F, tandis que %2B devient un plus. Les noms vides, les valeurs vides et les doublons restent visibles dans leur ordre initial.
Le paramètre state peut être absent, vide, répété, non comparé, identique ou différent. Un code d’autorisation mélangé à error déclenche également un signalement. Les tables affichent 50 lignes à la fois ; le rapport contient toujours tous les paramètres.
Changer le schéma, le port, le chemin ou la barre finale peut désigner un autre destinataire. Enregistrez la véritable URI chez le fournisseur. Cette page conserve la chaîne saisie comme valeur ; elle ne peut pas lire les paramètres enregistrés du client.
State revient dans les paramètres du callback et se compare à la valeur de la transaction. Nonce est lié à un ID token et doit être contrôlé après validation de ce jeton. Un champ nonce présent dans un callback collé ne remplace pas ce contrôle.
Le secret authentifie le client au point de terminaison de jeton. PKCE lie aussi le code à son verifier initial. Les recommandations actuelles préconisent PKCE pour les clients confidentiels. Vérifiez néanmoins la prise en charge de S256 par votre fournisseur.
Oui, il s’agit d’un identifiant public. client_secret et code_verifier remplissent d’autres rôles et ne doivent pas figurer dans le query d’autorisation. Ces noms sont bloqués ; le verifier dispose d’un bouton de copie séparé.
OAuth autorise l’accès aux ressources. OpenID Connect ajoute l’authentification de l’utilisateur et un ID token. Incluez openid dans scope et renseignez nonce selon les exigences du fournisseur. La validation du jeton retourné reste à la charge de l’application.
Un résultat ou une erreur semble incorrect ?
Comparez l’URL d’autorisation OAuth à la configuration enregistrée, puis examinez le callback avec le state conservé pour cette transaction précise.