Plugin Oauth2-basic et pkce

SSO
1

Hello all,

I’m new to the oauth2-basic plugin and after reading the docs and source code, I cannot find an answer to my question.

  • Does the oauth2-basic plugin support pkce?
  • If so, how can I enable that?
  • If not, how might I modify the oauth2-basic plugin code to use pkce?

The omniauth github page README says that I should be able to set the pkce option to true in my omniauth strategy. However, I have attempted this change in the oauth2-basic plugin code and no code challenge is being sent to my authorize_url. Any suggestions?

Thanks in advance

3 « J'aime »
2

Je remonte ce sujet car une communauté que j’assiste demande la prise en charge de PKCE.

Avant qu’on ne me le demande, je n’avais encore rien vu à ce sujet, mais en parcourant la documentation à ce sujet, il semble que le principal moteur de cela soit les applications natives et les SPA :

Applications natives

  • Ne peuvent pas stocker en toute sécurité un secret client. La décompilation de l’application révélera le secret client, qui est lié à l’application et est le même pour tous les utilisateurs et appareils.
  • Peuvent utiliser un schéma d’URL personnalisé pour capturer les redirections (par exemple, MyApp://) permettant potentiellement aux applications malveillantes de recevoir un code d’autorisation de votre serveur d’autorisation.

Applications monopages

  • Ne peuvent pas stocker en toute sécurité un secret client car leur code source entier est disponible pour le navigateur.

Aucune de ces situations ne s’applique ici ; c’est le serveur Discourse qui détient le secret.

Animated GIF