Разработка OAuth
Загрузите открытый пример, сравните запрос с ответом, затем подставьте свои значения.
Вводите исходные значения. Зарегистрированный redirect URI сохраняется точно.
Всё обрабатывается в этой вкладке. Ввод не отправляется и не сохраняется.
response_type=code · поток кода авторизации
Сохраните verifier для запроса токена. В URL входит только challenge; отчёт исключает verifier.
По одной исходной паре key=value на строку. Не кодируйте заранее и не повторяйте резервные поля.
Введите значения или загрузите пример.
Другой порт, лишний слеш в адресе возврата или плюс, превратившийся в пробел, могут остановить вход. Здесь URL авторизации OAuth показан рядом с таблицей декодированных значений. Так проще увидеть разницу между настройками клиента и тем, что действительно попало в строку запроса.
Если тестовый ответ уже получен, вставьте его в режиме разбора callback. Ожидаемый state укажите отдельно, взяв значение из той же транзакции. Повторяющиеся имена остаются отдельными строками: успешный разбор текста не подтверждает действительность кода, токена или личности пользователя.
URL авторизации OAuth получает только challenge S256 и название метода. Исходный verifier остаётся в поле ввода; отдельная кнопка позволяет скопировать его для последующего запроса токена. В экспортируемый отчёт verifier тоже не включается, поэтому его нельзя случайно перепутать с отправляемым challenge.
Если state присутствует и в query, и во fragment, обе строки сохраняют свой источник и порядок. Даже одинаковые значения считаются неоднозначными. Совпадение первой строки не должно скрывать второй параметр, которого приложение не ожидало.
Проверьте схему, порт, путь, завершающий слеш и query в URI перенаправления. Не кодируйте заранее весь адрес. Дополнительные параметры задаются исходными строками key=value; знак & внутри значения остаётся частью этого значения.
Генератор использует по 32 независимых случайных байта для state и verifier. Если scope содержит отдельное значение openid, обновляется и nonce. Перед применением проверьте число изменяемых полей и сохраните verifier для этой транзакции. Правка scope не запускает новую генерацию.
Автоматический режим ждёт 350 мс после последней правки. Если его выключить, доступны кнопка запуска и Ctrl/Cmd+Enter. Устаревший результат нельзя экспортировать. Переключение режима сохраняет ввод, но ожидаемый state для callback остаётся самостоятельным полем.
Весь redirect_uri кодируется как один параметр. Уже имеющийся query конечной точки строго декодируется и собирается заново вместе с полями формы. Буквальный плюс в дополнительном значении становится %2B; пробелы обрабатываются по правилам форм.
Verifier должен содержать от 43 до 128 разрешённых символов. Пробелы не обрезаются, предварительное декодирование Base64 не выполняется. Отключение PKCE убирает challenge и метод из адреса, сохраняя введённый verifier для дальнейшей работы.
Поддерживаются полный URL, ?query, #fragment и отдельная строка query. Последовательность %252F превращается в %2F, а не в слеш. Пустые имена, пустые значения и повторы остаются в исходном порядке, без перезаписи в объекте.
Параметр state может отсутствовать, быть пустым, повторяться, не проверяться, совпадать или отличаться. Если код авторизации смешан с error, появится предупреждение. Таблица раскрывает по 50 строк, а отчёт всегда содержит полный набор параметров.
Различие в схеме, порте, пути или последнем слеше может обозначать другого получателя. Зарегистрируйте у провайдера фактический адрес. Инструмент сохраняет введённую строку как значение параметра, но не читает регистрационные настройки клиента.
State возвращается параметром callback и сравнивается с исходным значением транзакции. Nonce связан с ID token и проверяется после валидации этого токена. Наличие nonce во вставленном callback не заменяет такую проверку.
Секрет аутентифицирует клиента на конечной точке токенов. PKCE дополнительно связывает код с исходным verifier. Современные рекомендации предусматривают PKCE и для конфиденциальных клиентов. Проверьте поддержку S256 вашим провайдером.
Да, это открытый идентификатор. client_secret и code_verifier выполняют другие задачи и не должны попадать в query авторизации. Инструмент блокирует эти имена и предлагает отдельную кнопку копирования verifier.
OAuth предоставляет доступ к ресурсам. OpenID Connect добавляет аутентификацию пользователя и ID token. Включите openid в scope и при необходимости nonce согласно требованиям провайдера. Проверка возвращённого токена остаётся задачей приложения.
Нашли ошибку вычисления или проверки?
Сопоставьте URL авторизации OAuth с регистрацией клиента, затем разберите callback с тем state, который был сохранён для этой конкретной транзакции.