Découvrez comment fonctionne le Flux de mot de passe du propriétaire de ressource et pourquoi vous devriez l’utiliser pour des applications de confiance.
Étant donné que le flux ROP (Resource Owner Password) implique que l’application gère le mot de passe de l’utilisateur, il ne doit pas être utilisé par des clients tiers.
Bien que nous ne le recommandions pas, les applications hautement fiables peuvent utiliser le flux de mot de passe du propriétaire de ressource, (défini dans la section 4.3 OAuth 2.0 RFC 6749, parfois appelée Password Grant ou ROPG - Consentement de mot de passe au propriétaire de la ressource ou ROPG), qui demande aux utilisateurs de fournir des identifiants (nom d’utilisateur et mot de passe), généralement à l’aide d’un formulaire interactif. Comme les informations d’identification sont envoyées au système dorsal et peuvent être stockées pour usage ultérieur avant d’être échangées contre un jeton d’accès, il est impératif que l’application ait une confiance absolue dans ces informations.Même si cette condition est remplie, le Flux de mot de passe du propriétaire de ressource ne doit être utilisé que lorsque les flux de redirection comme le Flux de code d’autorisation ne peuvent pas être utilisés.
Auth0 fournit une autorisation d’extension semblable à l’autorisation de mot de passe du propriétaire de ressource, qui vous permet de conserver des répertoires d’utilisateurs distincts (qui correspondent à des connexions distinctes) et de spécifier celui qui doit être utilisé pendant le flux.Par exemple, supposons que vous souhaitiez présenter une liste déroulante sur l’interface utilisateur de connexion de votre application permettant aux utilisateurs de choisir leur type d’utilisateur : Employees ou Customers. Dans ce cas, vous devez configurer Employees et Customers en tant que domaines (et configurer une connexion correspondante pour chacun), ce qui permet de conserver les identifiants des employés et des clients dans des répertoires d’utilisateurs distincts. Lorsque vous demandez un jeton, vous soumettez la valeur du domaine avec les informations d’identification de l’utilisateur et le domaine soumis est utilisé pour vérifier le mot de passe.Pour en savoir plus sur la mise en œuvre de cet octroi d’extension, veuillez consulter l’article Appelez votre API à l’aide du flux de mot de passe du propriétaire de ressource : Configurer la prise en charge des partitions.
Les règles seront exécutées pour le Flux de mot de passe du propriétaire de ressource (y compris l’autorisation d’extension de la partition). En revanche, les règles de redirection ne fonctionneront pas. Si vous essayez d’effectuer une redirection en spécifiant context.redirect dans votre règle, le flux d’authentification renverra une erreur. Pour en savoir plus sur les règles, lisez Règles d’Auth0. Pour en savoir plus sur les règles de redirection, veuillez consulter l’article Rediriger les utilisateurs à partir des règles.
