Отладчик OAuth 2.0 и OIDC

Отладчик охватывает шаги, на которых обычно ломаются потоки входа: сборку URL авторизации, создание верификатора и челленджа PKCE, разбор обратного вызова, проверку ID-токенов и токенов доступа, сравнение URI перенаправления и объяснение кодов ошибок OAuth. Значения передаются между разделами: сгенерированный челлендж добавляется в URL, а токен из обратного вызова открывается в инспекторе токенов.

Всё работает в вашем браузере. Инструмент никогда не запрашивает секрет клиента, не обменивает коды на токены и не выполняет сетевых запросов; открытие URL авторизации в новой вкладке — единственное действие, при котором происходит обращение к провайдеру. Коды, токены и верификаторы по умолчанию скрыты, хранятся только в памяти и никогда не сохраняются, не журналируются и не добавляются в URL страницы. Запоминается только выбранный раздел.

Инспектор токенов декодирует заголовки и утверждения JWT и сверяет iss, aud, azp, sub, scope, scp, exp, nbf, iat, nonce, alg и kid с ожидаемыми значениями с учётом настраиваемого расхождения часов. Он не загружает ключи JWKS и не проверяет подписи, поэтому декодированные утверждения остаются непроверенными, пока ваш сервер не проверит подпись. Непрозрачные и зашифрованные токены распознаются как таковые, а не интерпретируются наугад.

Проверки следуют RFC 6749 (OAuth 2.0), RFC 6750 (токены Bearer), RFC 7636 (PKCE, включая тестовый вектор), RFC 8252 (нативные приложения и перенаправления на loopback), RFC 9207 (издатель в обратном вызове), RFC 9068 (токены доступа в формате JWT) и OpenID Connect Core, а также рекомендации OAuth 2.1 использовать поток code с PKCE. Поведение провайдеров различается, поэтому предупреждения объясняют причину, а не утверждают, что запрос завершится ошибкой.