OAuth 2.0 और OIDC डीबगर

यह डीबगर उन चरणों को कवर करता है जहाँ साइन-इन फ़्लो अक्सर टूटते हैं: ऑथराइज़ेशन URL बनाना, PKCE वेरिफ़ायर और चैलेंज बनाना, कॉलबैक पढ़ना, ID और एक्सेस टोकन जाँचना, रीडायरेक्ट URI की तुलना करना और OAuth त्रुटि कोड समझाना। मान अनुभागों के बीच साझा होते हैं, इसलिए बनाया गया चैलेंज URL में जुड़ जाता है और कॉलबैक का टोकन टोकन निरीक्षक में खुलता है।

सब कुछ आपके ब्राउज़र में चलता है। यह टूल कभी क्लाइंट सीक्रेट नहीं माँगता, कभी कोड को टोकन से एक्सचेंज नहीं करता और कोई नेटवर्क अनुरोध नहीं करता; ऑथराइज़ेशन URL खोलना ही एकमात्र क्रिया है जो नए टैब में आपके प्रदाता से संपर्क करती है। कोड, टोकन और वेरिफ़ायर डिफ़ॉल्ट रूप से छिपे रहते हैं, केवल मेमोरी में रखे जाते हैं, और कभी संग्रहीत, लॉग या पेज URL में नहीं जोड़े जाते। केवल चुना गया अनुभाग याद रखा जाता है।

टोकन निरीक्षक JWT हेडर और क्लेम डिकोड करता है और iss, aud, azp, sub, scope, scp, exp, nbf, iat, nonce, alg और kid को आपके अपेक्षित मानों से, समायोज्य घड़ी अंतर के साथ, जाँचता है। यह JWKS कुंजियाँ नहीं लाता और सिग्नेचर सत्यापित नहीं करता, इसलिए जब तक आपका सर्वर सिग्नेचर सत्यापित न करे, डिकोड किए गए क्लेम असत्यापित रहते हैं। अपारदर्शी और एन्क्रिप्टेड टोकन का अनुमान लगाने के बजाय उनकी पहचान की जाती है।

जाँचें RFC 6749 (OAuth 2.0), RFC 6750 (Bearer टोकन), RFC 7636 (PKCE, उसके परीक्षण वेक्टर सहित), RFC 8252 (नेटिव और लूपबैक रीडायरेक्ट), RFC 9207 (कॉलबैक में जारीकर्ता), RFC 9068 (JWT एक्सेस टोकन) और OpenID Connect Core का पालन करती हैं, साथ ही PKCE के साथ code फ़्लो उपयोग करने की OAuth 2.1 दिशा का भी। प्रदाताओं का व्यवहार अलग-अलग होता है, इसलिए चेतावनियाँ यह दावा करने के बजाय कि अनुरोध विफल होगा, कारण समझाती हैं।