Debugger OAuth 2.0 & OIDC
Susun, periksa, dan perbaiki alur OAuth dan OIDC
Satu ruang kerja untuk masalah OAuth dan OIDC
Penelusur masalah ini mencakup langkah-langkah yang paling sering bermasalah dalam alur masuk: menyusun URL otorisasi, membuat pemverifikasi dan tantangan PKCE, membaca callback, memeriksa token ID dan token akses, membandingkan URI pengalihan, serta menjelaskan kode galat OAuth. Nilai mengalir antarbagian, sehingga tantangan yang dibuat langsung ditambahkan ke URL dan token dari callback dibuka di Pemeriksa Token.
Lokal dan aman untuk rahasia
Semuanya berjalan di peramban Anda. Alat ini tidak pernah meminta rahasia klien, tidak pernah menukar kode dengan token, dan tidak membuat permintaan jaringan; membuka URL otorisasi adalah satu-satunya tindakan yang menghubungi penyedia Anda, di tab baru. Kode, token, dan pemverifikasi disamarkan secara bawaan, hanya disimpan di memori, dan tidak pernah disimpan permanen, dicatat, atau ditambahkan ke URL halaman. Hanya bagian yang dipilih yang diingat.
Dekode bukan verifikasi
Pemeriksa Token mendekode tajuk dan klaim JWT serta memeriksa iss, aud, azp, sub, scope, scp, exp, nbf, iat, nonce, alg, dan kid terhadap nilai yang Anda harapkan, dengan toleransi selisih jam yang dapat diatur. Alat ini tidak mengambil kunci JWKS atau memverifikasi tanda tangan, sehingga klaim hasil dekode belum terverifikasi sampai server Anda memvalidasi tanda tangannya. Token buram dan terenkripsi dikenali sebagaimana adanya, bukan ditebak.
Standar di balik pemeriksaan
Pemeriksaan mengikuti RFC 6749 (OAuth 2.0), RFC 6750 (token Bearer), RFC 7636 (PKCE, termasuk vektor ujinya), RFC 8252 (pengalihan aplikasi asli dan loopback), RFC 9207 (penerbit di callback), RFC 9068 (token akses JWT), dan OpenID Connect Core, ditambah arahan OAuth 2.1 untuk memakai alur code dengan PKCE. Perilaku penyedia berbeda-beda, jadi peringatan menjelaskan alasannya alih-alih memastikan bahwa permintaan akan gagal.
