El flujo de código de autorización devuelve un código de autorización al cliente, que puede intercambiarlo por un token de identificación y un token de acceso directamente. Esto proporciona el beneficio de no exponer ningún token al Agente de Usuario y a otras aplicaciones maliciosas con acceso al Agente de Usuario. El Servidor de Autorización también puede autenticar al Cliente antes de intercambiar el Código de Autorización por un Token de Acceso.
SUCCESSFUL RESPONSE
Al recibir la respuesta del sistema B-FY, aunque existe un protocolo de seguridad que garantiza la confidencialidad y seguridad, es necesario realizar validaciones adicionales, en este caso utilizando el parámetro «estado», que fue enviado en la primera petición del armario al sistema B-FY. Este parámetro de estado debe ser el mismo que el enviado.
Ejemplo:
https://client.example.com/cb?code=SplxlOBeZQQYbYS6WxSbIA&state=170894
Referencia de la especificación Oauth 2 para la validación: https://www.rfc-editor.org/rfc/rfc6749#section-4.1.2
Referencia de la especificación OpenID: https://openid.net/specs/openid-connect-core-1_0.html#AuthResponse
ERROR RESPONSE
Ejemplo:
HTTP/1.1 302 FoundLocation: https://client.example.org/cb?error=invalid_request&error_description= Unsupported%20response_type%20value&state=af0ifjsldkj
Referencia de la especificación OpenID: https://openid.net/specs/openid-connect-core-1_0.html#AuthError