La token exchange

Intercambio de tokens sts

Si está utilizando credenciales de seguridad temporales proporcionadas por AWS, también debe incluir el encabezado x-amz-security-token, con el valor establecido en el token de sesión.El siguiente ejemplo muestra un token GetCallerIdentity:
Requerido. Un identificador que indica el tipo de token de seguridad en el parámetro subjectToken. Los valores admitidos son urn:ietf:params:oauth:token-type:jwt, urn:ietf:params:oauth:token-type:id_token, urn:ietf:params:aws:token-type:aws4_request y urn:ietf:params:oauth:token-type:access_token.

Ejemplo de intercambio de tokens oauth 2.0

En este caso, hay que enviar un token de acceso válido en la cabecera de autorización, utilizando el esquema de autenticación Bearer. Un ejemplo es el punto final Get User Info. En este caso, se obtiene un token de acceso cuando se autentifica a un usuario, y luego se puede hacer una solicitud al punto final «Obtener información de usuario», utilizando ese token en la cabecera de autorización, para recuperar el perfil del usuario.
En este caso, tienes que enviar tu información de ID de cliente y secreto de cliente en el cuerpo JSON de la petición. Un ejemplo es el punto final de Revocar Refrescar Token. Esta opción sólo está disponible para aplicaciones confidenciales (como las aplicaciones que pueden mantener las credenciales de forma segura sin exponerlas a partes no autorizadas).
Para las aplicaciones públicas (como las aplicaciones que no pueden mantener las credenciales de forma segura, como las SPA o las aplicaciones móviles), ofrecemos algunos puntos finales a los que se puede acceder utilizando únicamente el ID de cliente. Un ejemplo es la concesión implícita.
Cuando se produce un error, recibirá un objeto de error. La mayoría de estos objetos de error contienen un código de error y una descripción del mismo para que sus aplicaciones puedan identificar el problema de forma más eficiente.

Intercambio de tokens auth0

El flujo de código se trata de un Propietario de Recursos que autoriza una solicitud de acceso del Cliente con el Servidor de Autorización, resultando en un código que representa esa autorización delegada. El usuario entrega el código al Cliente, que lo utiliza en un canal de retorno con el Servidor de Autorización para intercambiarlo por un Token de Acceso OAuth.
La segunda petición se realiza como una petición POST del lado del servidor con el tipo de contenido application/x-www-form-urlencoded al endpoint oauth-token. En esta llamada el cliente necesita autenticarse usando sus credenciales de cliente.
Para mitigar este ataque, se crea un «verificador de código» único en el lado del cliente para cada solicitud de autorización; que se transforma en un «desafío de código» que se envía al servidor de autorización. El código de autorización obtenido se envía entonces al punto final del token junto con el «verificador de código», donde se compara con el «desafío de código» recibido previamente; realizando una prueba de posesión del «verificador de código» por parte del cliente.
El flujo Implícito también consiste en que el Propietario del Recurso autoriza la solicitud de acceso del Cliente con el Servidor de Autorización, al igual que el flujo de Código, pero no responde con un código, sino que proporciona el Token de Acceso OAuth directamente.

Plataforma de intercambio de tokens

La especificación de intercambio de tokens de OAuth (RFC 8693) describe un mecanismo de propósito general para traducir entre tipos de tokens. Los casos de uso más comunes son la creación de tokens para fines de suplantación y delegación, pero no se limita a eso.
Uno de los principales casos de uso de la especificación de intercambio de tokens es la creación de tokens para escenarios de delegación y suplantación de identidad. En estos escenarios se desea enviar cierta información de tokens e identidades a través de múltiples saltos en una cadena de llamadas.
Para emitir la declaración de acto en los tokens salientes, su servicio de perfil debe conocerla. El siguiente servicio de perfil sencillo emite la reivindicación de acto si la solicitud de token está en el contexto de una operación de intercambio de tokens: