Autorisation Implicite

Le type d'autorisation Implicite est optimisé pour les applications basées sur un navigateur. Le type d'autorisation Implicite peut être utilisé uniquement pour l'authentification des utilisateurs (applications côté serveur et JavaScript) ou à la fois pour l'authentification et les demandes de jetons d'accès (applications JavaScript). Dans le flux Implicite, tous les jetons sont transmis via le navigateur. Les fonctionnalités avancées telles que les jetons d'actualisation ne sont pas autorisées, car la sécurité des jetons ne peut pas être garantie.

Le flux d'autorisation Implicite comporte les étapes suivantes :

Votre application dirige le navigateur vers la page de connexion du serveur d'authentification, où l'utilisateur s'authentifie.

Le serveur d'authentification redirige le navigateur vers l'URI de redirection spécifié et inclut les jetons d'accès et d'identification sous forme de fragment de hachage dans l'URI.

Votre application extrait les jetons à partir de l'URI.

Votre application peut désormais utiliser ces jetons pour appeler le serveur de ressources (par exemple, une API) au nom de l'utilisateur.

Le démarrage de ce flux est très similaire au flux Code d'autorisation, sauf que le paramètre

response_type

est défini sur

token

id_token

au lieu de

code

Étape 1 : Votre navigateur demande à ce que le point de terminaison du serveur d'autorisation soit autorisé.

GET https://<server>/AuthServices/Auth/connect/authorize?
response_type=token
&client_id=<client_id>
&redirect_uri=<your_app_callback_url>
&scope=openid profile athoc.iws.web.api offline_access
&state=<guid>
&acr_values=tenant:<org_code>

Étape 2 : L'utilisateur se connecte.

En l'absence de session existante, la page de connexion du serveur d'authentification s'affiche. Après l'authentification, ou en présence d'une session existante, l'utilisateur arrive au

redirect_uri

spécifié avec un jeton sous forme de fragment de hachage.

Étape 3 : Le serveur d'authentification envoie une réponse de redirection.

https://localhost:8080/#
access_token=eyJhkjughfs...
&token_type=Bearer&expires_in=3600
&scope=openid
&state=<state>

Votre application doit maintenant extraire les jetons à partir de l'URI et les stocker.

Section:

Authentification