Migrez votre Resource Owner Passwordless Credentials Exchange

​

Fonctionnalités touchées

​

Actions

​

Modifications de la requête

{
  "grant_type": "password",
  "client_id": "123",
  "username": "alice",
  "password": "A3ddj3w", 
  "connection": "my-database-connection",
  "scope": "openid email favorite_color offline_access",
  "device": "my-device-name"
}

• Le point de terminaison pour exécuter les échanges de jetons est maintenant /oauth/token.
• Le type d’octroi propre à Auth0 est utilisé pour authentifier les utilisateurs à partir d’une connexion précise (ou d’un realm).
• Auth0 prend en charge les scopes OIDC standards, ainsi que les scopes que vous avez définis dans votre API personnalisée.
• Un scope qui ne correspond à aucune de ces catégories, comme favorite_color ci-dessus, n’est plus un scope valide.
• Le paramètre device a été supprimé.
• Le paramètre audience est facultatif.

• Le type d’octroi est indiqué ici par http://auth0.com/oauth/grant-type/passwordless/otp.
• Les paramètres client_id et username sont inchangés.
• Le client_secret doit être fourni pour les clients confidentiels (p. ex. les applications Web traditionnelles).
• Le mot de passe à usage unique doit être envoyé dans le paramètre otp au lieu du paramètre password.
• Le realm sert à identifier la connexion et remplace le paramètre connection des requêtes précédentes.
• Le paramètre scope est essentiellement le même, mais il n’accepte pas de valeurs non OIDC.
• Le paramètre audience peut être ajouté pour indiquer l’audience de l’API à laquelle le jeton sera destiné.

​

Modifications des réponses

{
  "access_token": "SlAV32hkKG",
  "token_type": "Bearer",
  "refresh_token": "8xLOxBtZp8",
  "expires_in": 3600,
  "id_token": "eyJ..."
}

• Le jeton d’accès renvoyé permet d’appeler le point de terminaison /userinfo (à condition que l’API indiquée par le paramètre audience utilise RS256 comme algorithme de signature) et, facultativement, l’API personnalisée si elle a été spécifiée.
• Le jeton d’identification sera signé d’office avec RS256 si un client public en fait la demande.
• Un jeton d’actualisation sera renvoyé seulement si le scope offline_access a été accordée et que l’API a l’option Autoriser l’accès hors ligne activée.

{
  "access_token": "eyJ...",
  "token_type": "Bearer",
  "refresh_token": "8xLOxBtZp8",
  "expires_in": 3600,
  "id_token": "eyJ..."
}

​

Modifications du code lors de l’utilisation des SDK

​

Vérifier la migration

1. Pour vérifier si vous utilisez le point de terminaison déprécié, consultez les tenant logs, appliquez le filtre Deprecation Notice, puis recherchez les logs contenant oauth/ro passwordless: This feature is being deprecated. Vous pouvez aussi faire cette recherche directement avec la requête suivante : type:depnote AND description:*passwordless*.
2. Une fois votre base de code migrée et après vous être assuré que vos apps n’appellent plus ce point de terminaison, allez dans le Dashboard, sous Tenant Settings > Advanced.
3. Faites défiler jusqu’à Migrations et désactivez Legacy /oauth/ro Endpoint. La désactivation de ce commutateur désactive le point de terminaison déprécié pour votre tenant, ce qui empêche son utilisation.

​

En savoir plus

• Migrez votre flux propriétaire de la ressource Password