Applicazioni OAuth 2

Aggiornamento dei token OAuth 2

Questa guida presuppone che tu abbia già creato un'app OAuth2

Se non l’hai fatto, consulta questa guida e torna qui una volta acquisiti access_token e refresh_token da una concessione di credenziali OAuth 2 riuscita.

Nozioni di base sull’aggiornamento dei token

Supponendo che tu abbia incluso l’ambito offline nella richiesta di credenziali OAuth2.0, l’autenticazione riuscita tramite l’applicazione degli account di Frame.io restituirà un payload simile al seguente:

1{
2  "access_token":"BEARER_TOKEN",
3  "expires_in":3600,
4  "refresh_token":"REFRESH_TOKEN",
5  "scope":"account.read offline",
6  "token_type":"bearer"
7}

access_token è un token bearer che può essere utilizzato per agire per conto dell’utente autenticato; scadrà dopo 3600 secondi (un’ora); dopodiché il refresh_token potrà essere utilizzato per recuperare un nuovo access_token. Il token di aggiornamento scadrà dopo 30 giorni, trascorsi i quali l’utente dovrà eseguire di nuovo l’accesso da zero, producendo una nuova coppia di token di accesso e aggiornamento e così via. Se non richiedi esplicitamente l’ambito offline, non riceverai un refresh_token, perciò dopo un’ora dovrai riautenticare completamente l’utente.

Acquisizione del token di aggiornamento in caso di autenticazione riuscita

Ovviamente, non puoi utilizzare un refresh_token che non hai, quindi nella tua app devi fare quanto segue:

  • Richiedi l’ambito offline
  • Acquisisci il refresh_token restituito in un callback riuscito.

Per comodità, qui è riprodotto il callback delle nostre guide per le app OAuth 2, con una chiamata os per memorizzare il token di aggiornamento. Tieni presente che vengono forniti due esempi: uno con PKCE configurato (non include l’intestazione di autenticazione di base) e uno senza (include l’intestazione di autenticazione di base).

Senza PKCE

Python
1def callback():
2  # Where `request` refers to our initial call to the auth URL
3  state = request.args.get('state')
4  scope = request.args.get('scope')
5  code = request.args.get('code')
6  error = request.args.get('error')
7
8  if error:
9    return "Error: " + error
10
11  # Set up for client authorization and set up the data you need to send.
12  client_auth = requests.auth.HTTPBasicAuth(CLIENT_ID, CLIENT_SECRET)
13
14  post_data = {
15    "grant_type": "authorization_code",
16    "code": code,
17    "redirect_uri": REDIRECT_URI,
18    "state": state,
19    "scope": SCOPE
20  }
21
22  # Send a POST request with the data you need to receive an access token. 
23  response = requests.post(TOKEN, auth=client_auth, data=post_data)    
24	# Stash the refresh token for later
25  os.environ['REFRESH_TOKEN'] = response.json()["refresh_token"]
26
27  return response.text

Con PKCE

Python
1def callback():
2  # Where `request` refers to our initial call to the auth URL
3  state = request.args.get('state')
4  scope = request.args.get('scope')
5  code = request.args.get('code')
6  error = request.args.get('error')
7
8  if error:
9    return "Error: " + error
10
11  # If using PKCE, you must include the CLIENT_ID in your request body  
12  post_data = {
13    "grant_type": "authorization_code",
14    "code": code,
15    "redirect_uri": REDIRECT_URI,
16    "state": state,
17    "scope": SCOPE
18    "client_id": CLIENT_ID 
19  }
20
21  # Send a POST request with the data you need to receive an access token.
22  # If using PKCE, use the below request with no auth
23  response = requests.post(TOKEN_URL, data=post_data)
24  # Stash the refresh token for later
25  os.environ['REFRESH_TOKEN'] = response.json()["refresh_token"]
26
27  return response.text

Esecuzione di un aggiornamento

L’aggiornamento stesso è una singola chiamata all’URL del token di Frame.io:

Un aggiornamento include sempre almeno i seguenti tre attributi nei dati del modulo:

  • grant_type: refresh_token
  • scope: <scopes>
  • refresh_token: <refresh_token>

Se usi PKCE, devi includere il client_id dell’app nei dati di questo modulo; altrimenti, devi includere un’intestazione di autenticazione Basic con il client_id e il client_secret dell’app come nome utente e password, rispettivamente.

Senza PKCE

In modo simile al callback di autenticazione iniziale senza PKCE, questo aggiornamento standard prevede la specifica del client_id e del client_secret come nome utente e password in un’intestazione di autenticazione Basic.

Python
1def refresh():
2  # Fetch the refresh token, assuming we have it
3  REFRESH_TOKEN = os.environ.get('REFRESH_TOKEN')
4
5  client_auth = requests.auth.HTTPBasicAuth(CLIENT_ID,CLIENT_SECRET)
6  post_data = {
7    "grant_type": "refresh_token",
8    "scope": SCOPE,
9    "refresh_token": REFRESH_TOKEN
10    # if using PKCE, you will need to include your client_id as below
11    # "client_id": CLIENT_ID 
12  }
13
14  response = requests.post(TOKEN_URL, auth=client_auth, data=post_data)
15  # Catch + stash a new Refresh Token
16  os.environ['REFRESH_TOKEN'] = response.json()["refresh_token"]
17
18  return response.text

Con PKCE

Ancora una volta, stiamo seguendo le regole del ciclo /callback iniziale:

  • Non includiamo un’intestazione Authorization
  • Dobbiamo includere il client_id nel payload
Python
1def refresh():
2  # Fetch the refresh token, assuming we have it
3  REFRESH_TOKEN = os.environ.get('REFRESH_TOKEN')
4
5  post_data = {
6    "grant_type": "refresh_token",
7    "scope": SCOPE,
8    "refresh_token": REFRESH_TOKEN
9    "client_id": CLIENT_ID 
10  }
11
12  response = requests.post(TOKEN_URL, data=post_data)
13  # Catch + stash a new Refresh Token
14  os.environ['REFRESH_TOKEN'] = response.json()["refresh_token"]
15
16  return response.text

Complimenti! Ora puoi gestire l’intero ciclo di vita dei token di un’applicazione client OAuth2.0.