Как получить код авторизации

К задаче “Как получить код авторизации” подходит решение через OAuth 2.0, обычно это называется Authorization Code Grant. Ниже — подробное пошаговое объяснение и пример, как это работает в общем виде. Если скажете конкретного провайдера (Google, GitHub и т. п.), могу адаптировать под его требования.

Что такое код авторизации

• Клиент (ваше приложение) направляет пользователя на страницу авторизации провайдера.
• Пользователь входит и даёт доступ.
• Провайдер возвращает в redirect_uri временный код (authorization code).
• Ваше приложение отправляет этот код на токен-эндпоинт провайдера и получает access_token (и часто refresh_token).
• Затем можно вызывать API провайдера от имени пользователя, используя access_token.

Пошаговый алгоритм

1. Подготовка

• Зарегистрируйте приложение у провайдера (в панеле разработчика) и получите:
  • client_id
  • client_secret (для серверных приложений; для публичных клиентов может не потребоваться, если используется PKCE)
  • redirect_uri(и) — URL, на который провайдер будет отправлять пользователя после авторизации
• Решите, нужен ли PKCE (для мобильных/одностраничных приложений это рекомендовано).

2. Формирование URL для авторизации Ваше приложение направляет пользователя по URLу авторизации провайдера. Пример общего вида:

• provider.example &client_id=YOUR_CLIENT_ID &redirect_uri=yourapp.example &scope=read_profile email &state=RANDOM_STATE_STRING (и при использовании PKCE добавляются code_challenge и code_challenge_method)

Что это значит:

• response_type=code: запрашиваем код авторизации.
• state: произвольная строка для защиты от CSRF; вы проверяете её по возвращении.
• scope: какие данные/доступ вы запрашиваете.
• redirect_uri: должно совпадать с тем, что зарегистрировано.

3. Пользователь авторизуется и возвращается на ваш redirect_uri

• Провайлер перенаправляет пользователя на ваш redirect_uri с параметрами:
  • code=AUTHORIZATION_CODE
  • state=тот_же_state, что отправлялся ранее

4. Проверка state и обмен кода на токен

• Приложение проверяет, что полученный state совпадает с тем, что было отправлено.
• Затем отправляет POST-запрос на токен-эндпоинт провайдера, чтобы обменять code на access_token (и обычно refresh_token).

Пример запроса (обычный серверный клиент)

• Токен-эндпоинт: provider.example

• Пример тела запроса (application/x-www-form-urlencoded): grant_type=authorization_code& code=AUTHORIZATION_CODE& redirect_uri=yourapp.example client_id=YOUR_CLIENT_ID& client_secret=YOUR_CLIENT_SECRET

• Пример curl: curl -X POST provider.example
  -H "Content-Type: application/x-www-form-urlencoded"
  -d "grant_type=authorization_code&code=AUTHORIZATION_CODE&redirect_uri=yourapp.example"

Для публичных клиентов без client_secret применяют PKCE:

• Вы создаёте code_verifier (случайная строка) и вычисляете code_challenge (SHA256 кодированное значение).
• На шаге запроса авторизации передаете code_challenge и метод кодирования code_challenge_method=S256.
• При обмене на токен вы передаёте code_verifier вместо client_secret.

Пример с PKCE (разделено на части):

• Шаг 1: сгенерируйте code_verifier и code_challenge (SHA256(code_verifier) base64-url).
• Шаг 2: направляете пользователя на авторизацию со следующими параметрами: response_type=code&client_id=YOUR_CLIENT_ID&redirect_uri=...&code_challenge=YOUR_CODE_CHALLENGE&code_challenge_method=S256
• Шаг 3: провайдер вернёт code.
• Шаг 4: обмен кода на токен: grant_type=authorization_code&code=AUTHORIZATION_CODE&redirect_uri=...&client_id=YOUR_CLIENT_ID&code_verifier=YOUR_CODE_VERIFIER

Как использовать полученный токен

• access_token: обычно ставится в заголовке Authorization: Bearer ACCESS_TOKEN при вызовах API.
• refresh_token: используется для запроса нового access_token, когда тот истечёт.

Пример вызова API с токеном

• curl -H "Authorization: Bearer YOUR_ACCESS_TOKEN" provider.example

Безопасность и лучшие практики

• Всегда храните client_secret на сервере, а не в клиентском приложении.
• Используйте PKCE для мобильных и одностраничных приложений.
• Всегда проверяйте параметр state в ответе.
• Указывайте точный redirect_uri и регистрируйте его у провайдера.
• Обращайтесь к токен-эндпоинту только по HTTPS.
• Не передавайте токены через URL (GET-параметры); используйте заголовки или POST.

Чего спросить/уточнить

• Для какого именно сервиса/провайдера нужна процедура? (Google, GitHub, Facebook и т. п.)
• Это серверное приложение или клиентское (мобильное/SPA)?
• Нужен пример на конкретном языке программирования (Python, JavaScript, Java и т. д.)?

Если скажете, какой сервис и язык, сделаю персонализированный пример с конкретными URL, параметрами и кодом.