Hibah Kode Otorisasi OAuth 2.0 adalah metode autentikasi umum yang digunakan oleh banyak layanan, termasuk GitHub, untuk memungkinkan aplikasi pihak ketiga mengakses data pengguna tanpa membagikan kata sandi. Mengimplementasikan dan men-debug-nya di Apidog bisa menjadi keterampilan yang berharga.
OAuth 2.0
OAuth 2.0 adalah protokol otorisasi yang banyak digunakan yang memungkinkan akses pihak ketiga ke sumber daya yang dilindungi tanpa memerlukan kredensial pengguna. Ini melibatkan empat peran utama, yaitu Pemilik Sumber Daya, Klien, Server Otorisasi, dan Server Sumber Daya.
Alur Otorisasi Umum
Protokol OAuth 2.0 mengimplementasikan otorisasi melalui berbagai alur otorisasi. Alur otorisasi umum meliputi:
- Hibah Kode Otorisasi: Klien mengarahkan pengguna ke server otorisasi. Setelah pengguna masuk dan memberikan izin, server otorisasi mengembalikan kode otorisasi ke klien. Klien kemudian menukar kode otorisasi beserta kredensialnya untuk mendapatkan token akses.
- Hibah Kode Otorisasi dengan PKCE (Proof Key for Code Exchange): Mirip dengan alur kode otorisasi standar, tetapi klien meningkatkan keamanan dengan menggunakan PKCE (Proof Key for Code Exchange).
- Hibah Kredensial Kata Sandi Pemilik Sumber Daya: Pemilik sumber daya secara langsung memberikan nama pengguna dan kata sandi mereka kepada klien. Klien kemudian menggunakan kredensial ini untuk meminta token akses dari server otorisasi.
- Hibah Kredensial Klien: Klien secara langsung meminta token akses dari server otorisasi menggunakan kredensialnya sendiri. Alur ini cocok untuk kasus di mana klien itu sendiri membutuhkan akses ke sumber daya.
- Hibah Implisit: Digunakan untuk mendapatkan token akses langsung dari klien dalam aplikasi berbasis browser. Alur ini biasanya digunakan untuk aplikasi frontend web.
Cara Menyiapkan Github OAuth 2.0 (Client ID dan Client Secret)
Langkah 1: Buat aplikasi dan dapatkan client ID dan client secret
Untuk mendapatkan client ID dan client key, pertama-tama kita perlu membuat aplikasi. Klik tautan ini untuk membuatnya di Github: https://github.com/settings/applications/new, lalu isi "Homepage URL" Anda di sini Nama domain, jika ini adalah debugging lokal, Anda dapat mengisi layanan lokal Anda, seperti http://127.0.0.1:8000.
Isi alamat callback Anda di "Authorization callback URL", yang bisa berupa nama domain Anda atau alamat callback lokal Anda, seperti http://127.0.0.1:8000/callback.
Setelah mengisi konfigurasi yang relevan, klik "Register application" untuk membuatnya.
Setelah aplikasi dibuat, client ID dan client secret akan dihasilkan. Client key perlu dibuat secara terpisah. Klik "Generate a new client secret" untuk menghasilkan key.
Langkah 2: Dapatkan token akses
Ketika langkah pertama di atas sudah siap, kita dapat mengajukan permohonan token akses (Token). Kami akan mendemonstrasikan langkah ini melalui Apidog. Apidog adalah alat debugging dan manajemen API yang sangat baik.
Anda dapat Token token akses dapat diperoleh langsung di Apidog. Jika Anda belum menginstal Apidog, unduh sekarang!
- Buat proyek HTTP baru di Apidog dan buka, lalu buat permintaan baru di proyek dan pilih [Modify Document -> Auth -> OAuth 2.0 -> option.
2. Konfigurasikan client ID, client key, dan alamat pengalihan
Mode otorisasi default yang dipilih pada halaman OAuth 2.0 di Apifdog adalah Kode Otorisasi (mode kode otorisasi).
Karena Github OAuth 2.0 juga menggunakan Kode Otorisasi (mode kode otorisasi), Anda tidak perlu beralih di sini.
Kemudian temukan Client ID, Client Secret, dan Callback URL di bagian bawah halaman. Client ID (Client ID), client secret (Client Secret) dan alamat callback yang dikonfigurasi (Callback URL) akan diperoleh dari layanan OAuth 2.0 Github.
Cukup isi. Parameter spesifik adalah konfigurasi di "Langkah 1" di atas.
3. Konfigurasikan alamat permintaan kode otorisasi
Menurut dokumentasi resmi Github, saat melakukan autentikasi OAuth 2.0, alamat permintaan (Auth URL) dari kode otorisasi adalah:
https://github.com/login/oauth/authorize
Cukup isi alamat permintaan kode otorisasi ini ke dalam Auth URL. Kita dapat memahami alamat ini sebagai halaman otorisasi login.
Halaman ini akan dibuka ketika status login diverifikasi untuk pertama kalinya (ini adalah jendela di klien), dan kemudian Anda akan diminta untuk mengisi alamat permintaan. nama pengguna dan kata sandi.
Umumnya, saat membuat halaman otorisasi login secara manual, beberapa parameter perlu dibawa setelah alamat otorisasi.
Namun, di Apidog, parameter setelah URL umumnya tidak perlu dibawa, hanya jalur di depan tanda tanya? sudah cukup, karena yang lain diperlukan. Parameter telah dikonfigurasi secara terpisah di opsi lain.
Tentu saja, jika Anda ingin membawa beberapa parameter Query, Anda juga dapat menambahkannya. Klik ikon di belakang kotak input untuk menambahkan:
Kita juga dapat memperluas opsi "More" dan mengisi nilai parameter yang perlu diisi ke opsi yang sesuai. Misalnya, di "Scope", Anda dapat mengisi izin yang diperlukan, seperti read:user, user:email, dll.
Anda dapat memiliki lebih banyak izin untuk yang lain Anda dapat mengunjungi modul izin dari dokumentasi bantuan Github untuk melihatnya. Isi state di opsi "State". State adalah untuk mencegah pemalsuan permintaan lintas situs.
4. Konfigurasikan alamat permintaan token akses
Menurut dokumentasi resmi Github, untuk mengajukan permohonan token akses, URL yang diminta adalah:
https://github.com/login/oauth/access_token
Cukup isi alamat di atas ke dalam bidang input Access Token URL dari halaman OAuth 2.0 Apidog.
5. Dapatkan token akses untuk layanan Github OAuth 2.0
Setelah item konfigurasi di atas diatur, Anda dapat mengklik tombol "Get Token" untuk mendapatkan token akses.
Setelah mengklik, jika ini adalah pertama kalinya Anda masuk, sebuah jendela akan muncul bagi Anda untuk memberikan otorisasi. Cukup isi nama pengguna dan kata sandi akun Github Anda.
Setelah mengisi nama pengguna dan kata sandi, Anda akan diminta untuk mengonfirmasi otorisasi atau melakukan verifikasi dua langkah. Setelah verifikasi, klik Konfirmasi.
Setelah otorisasi selesai, token akses akan diperoleh secara otomatis dan ditampilkan di halaman. Pada saat yang sama, informasi lain yang dikembalikan oleh Github juga akan diuraikan, seperti yang ditunjukkan pada gambar di bawah. "Expired" ditampilkan di sini karena Github tidak mengembalikan atribut expires_in kepada kami, jadi kami tidak dapat membuat penilaian. Namun, Token ini dapat digunakan. Mari kita memulai permintaan di bawah ini.
Langkah 3: Akses sumber daya terbuka berdasarkan Token
Setelah Anda memiliki token akses (Token), Anda dapat menggunakan token akses ini untuk memanggil sumber daya terbuka Github. Anda dapat melihat sumber daya terbuka spesifik di Github API.
Misalnya, API berikut memperoleh informasi pengguna. Jika antarmuka Anda tidak kembali, Anda perlu memeriksa apakah Anda memiliki izin. Seperti yang disebutkan di Bagian 3 dari "Langkah 2", cukup konfigurasikan di Scope.
Saat mengirim permintaan, Apidog akan secara otomatis menambahkan Token ke Otorisasi header permintaan, menambahkannya ke Bearer, dan mengirimkannya. Jika Anda ingin membawa Token di URL, Anda juga dapat mengubah "Add Location" dari Token di item konfigurasi halaman dan memilih "Query Params".
Ringkasan
OAuth 2.0 adalah kerangka kerja otorisasi yang memungkinkan aplikasi pihak ketiga untuk mendapatkan token akses tanpa mengharuskan pengguna untuk memberikan nama pengguna dan kata sandi. Proses otorisasi yang digunakan oleh GitHub adalah "proses otorisasi kode otorisasi", dan proses otorisasi dapat di-debug dan dikonfigurasi di Apidog.
