ตัวดีบัก OAuth 2.0 และ OIDC

ตัวดีบักนี้ครอบคลุมขั้นตอนที่โฟลว์การลงชื่อเข้าใช้มักพัง ได้แก่ การสร้าง URL การอนุญาต การสร้างเวริฟายเออร์และชาเลนจ์ PKCE การอ่านคอลแบ็ก การตรวจ ID โทเค็นและโทเค็นการเข้าถึง การเทียบ URI เปลี่ยนเส้นทาง และการอธิบายโค้ดข้อผิดพลาด OAuth ค่าต่าง ๆ ส่งต่อระหว่างส่วน ชาเลนจ์ที่สร้างจึงถูกเพิ่มลงใน URL และโทเค็นจากคอลแบ็กจะเปิดในตัวตรวจโทเค็น

ทุกอย่างทำงานในเบราว์เซอร์ของคุณ เครื่องมือนี้ไม่เคยขอความลับของไคลเอนต์ ไม่แลกโค้ดเป็นโทเค็น และไม่ส่งคำขอเครือข่าย การเปิด URL การอนุญาตเป็นการกระทำเดียวที่ติดต่อผู้ให้บริการของคุณ โดยเปิดในแท็บใหม่ โค้ด โทเค็น และเวริฟายเออร์ถูกปิดบังโดยค่าเริ่มต้น เก็บไว้ในหน่วยความจำเท่านั้น และไม่ถูกบันทึก เขียนลงล็อก หรือใส่ใน URL ของหน้า จะจำเฉพาะส่วนที่เลือกไว้เท่านั้น

ตัวตรวจโทเค็นถอดรหัสส่วนหัวและเคลมของ JWT แล้วตรวจ iss, aud, azp, sub, scope, scp, exp, nbf, iat, nonce, alg และ kid เทียบกับค่าที่คุณคาดไว้ พร้อมค่าคลาดเคลื่อนของนาฬิกาที่ปรับได้ เครื่องมือไม่ดึงคีย์ JWKS และไม่ตรวจสอบลายเซ็น เคลมที่ถอดรหัสจึงยังไม่ได้รับการยืนยันจนกว่าเซิร์ฟเวอร์ของคุณจะตรวจสอบลายเซ็น โทเค็นทึบและโทเค็นที่เข้ารหัสจะถูกระบุประเภทแทนการเดา

การตรวจสอบเป็นไปตาม RFC 6749 (OAuth 2.0), RFC 6750 (โทเค็น Bearer), RFC 7636 (PKCE รวมถึงเวกเตอร์ทดสอบ), RFC 8252 (การเปลี่ยนเส้นทางแบบเนทีฟและลูปแบ็ก), RFC 9207 (ผู้ออกในคอลแบ็ก), RFC 9068 (โทเค็นการเข้าถึงแบบ JWT) และ OpenID Connect Core รวมถึงแนวทางของ OAuth 2.1 ที่ให้ใช้โฟลว์ code ร่วมกับ PKCE พฤติกรรมของผู้ให้บริการแตกต่างกัน คำเตือนจึงอธิบายเหตุผลแทนการยืนยันว่าคำขอจะล้มเหลว