Resource Access Management:Accéder aux API Alibaba Cloud depuis une application web

Prérequis

• Vous avez créé une application web OAuth 2.0 dans la console RAM.

• Vous avez créé et stocké de manière sécurisée le secret client pour votre application.

Vue d'ensemble du flux d'autorisation

Le flux de code d'autorisation OAuth 2.0 permet à votre application d'obtenir un jeton d'accès sans manipuler directement les identifiants de l'utilisateur.

1. L'utilisateur initie la connexion : Un utilisateur tente d'accéder à une ressource protégée dans votre application web.

2. Redirection vers le serveur d'autorisation : Votre application redirige le navigateur vers le point de terminaison d'autorisation d'Alibaba Cloud.

3. L'utilisateur donne son consentement : L'utilisateur se connecte à Alibaba Cloud et accorde à votre application les permissions demandées.

4. Réception du code d'autorisation : Le serveur d'autorisation redirige le navigateur vers votre URL de redirection avec un code d'autorisation à usage unique.

5. Échange du code contre des jetons : Votre serveur backend appelle le point de terminaison de jeton d'Alibaba Cloud pour échanger le code d'autorisation contre un jeton d'accès, un jeton ID et éventuellement un jeton d'actualisation.

6. Accès aux ressources protégées : Votre application utilise le jeton d'accès pour appeler les API Alibaba Cloud pour le compte de l'utilisateur.

Étape 1 : Demander un code d'autorisation

Pour démarrer le flux, votre application web doit rediriger le navigateur de l'utilisateur vers le point de terminaison d'autorisation d'Alibaba Cloud : https://signin.alibabacloud.com/oauth2/v1/auth.

https://signin.alibabacloud.com/oauth2/v1/auth?
client_id=123****&
redirect_uri=https://example.com/authcallback/&
response_type=code&
scope=openid /acs/ccc&
access_type=offline&
state=123456****

GET HTTP/1.1 302 Found
Location: https://example.com/authcallback/?code=ABAFDGDFXYZW888&state=123456****

Étape 2 : Échanger le code d'autorisation contre un jeton d'accès

Après avoir reçu le code d'autorisation, votre serveur backend doit envoyer une requête POST au point de terminaison de jeton d'Alibaba Cloud (https://oauth.alibabacloud.com/v1/token) pour échanger le code contre des jetons.

POST /v1/token HTTP/1.1
Host: oauth.alibabacloud.com
Content-Type: application/x-www-form-urlencoded
code=ABAFDGDFXYZW888&
client_id=123****&
client_secret=`your_client_secret`&
redirect_uri=https://example.com/authcallback/&
grant_type=authorization_code

{
  "access_token": "eyJraWQiOiJrMTIzNCIsImVu****",
  "token_type": "Bearer",
  "expires_in": "3600",
  "refresh_token": "Ccx63VVeTn2dxV7ovXXfLtAqLLERA****",
  "id_token": "eyJhbGciOiJIUzI1****",
  "scope": "openid /acs/ccc"
}

Étape 3 (Facultative) : Actualiser le jeton d'accès

Les jetons d'accès ont une durée de vie courte. Si vous avez demandé un accès offline, utilisez le jeton d'actualisation pour obtenir un nouveau jeton d'accès sans obliger l'utilisateur à se reconnecter. Point de terminaison : https://oauth.alibabacloud.com/v1/token

POST /v1/token HTTP/1.1
Host: oauth.alibabacloud.com
Content-Type: application/x-www-form-urlencoded
refresh_token=Ccx63VVeTn2dxV7ovXXfLtAqLLERAH1Bc&
client_id=123****&
client_secret=`your_client_secret`&
grant_type=refresh_token

{
  "access_token": "eyJraWQiOiJrMTIzNCIsImVu****",
  "token_type": "Bearer",
  "expires_in": "3600"
}

Révoquer un jeton d'actualisation

Lorsqu'un utilisateur se déconnecte ou dissocie son compte, révoquez le jeton d'actualisation associé. Point de terminaison : https://oauth.alibabacloud.com/v1/revoke