Apprenez les bases des subventions OpenID Connect (OIDC) et comment dépanner l'erreur "invalid_grant".
Dans notre communauté, nous entendons souvent une question récurrente de nos utilisateurs : Quel est le problème avec l'erreur "invalid_grant" dans Logto ? Comme #503
C'est un défi commun et un obstacle pour certains de nos utilisateurs lors de l'intégration de Logto dans leurs propres applications. Cependant, les raisons derrière cette erreur varient d'un cas à l'autre, et parfois il est difficile d'expliquer avec le contexte limité fourni. Par conséquent, comprendre le concept OIDC exact et apprendre la façon de dépanner l'issue est essentiel pour tout le monde.
Maintenant, plongeons dans les bases des subventions OIDC.
Comme nous l'avons introduit dans un article de blog précédemment, OpenID Connect (OIDC) est un protocole construit sur OAuth 2.0.
Dans le contexte d'OIDC ou OAuth2, une subvention est un ensemble de permissions accordées par le propriétaire de la ressource (généralement l'utilisateur) à une application client. Les subventions sont essentielles pour que l'application client puisse accéder aux informations d'identité de l'utilisateur et à d'autres ressources protégées. OIDC définit plusieurs types de subventions, chacun adapté à un scénario différent et à la façon dont une application obtient un jeton d'accès.
Voici une analogie pour vous aider à mieux comprendre les subventions OIDC.
Imaginez que vous voyagez dans différents pays, et chaque pays demande un tampon de visa pour entrer. Dans ce scénario, votre passeport sert de compte utilisateur, contenant vos informations personnelles. Les subventions OIDC sont comme les moyens que vous utilisez pour demander un visa pour entrer dans un pays. Lorsqu'un visa vous est délivré, vous obtenez essentiellement le "token" pour entrer dans ce pays.
De même, lorsque vous utilisez une application, la demande de subvention est l'action que vous demandez au serveur d'autorisation de vous accorder l'accès. Le serveur d'autorisation valide votre identité, et vous délivre le "visa" (jeton d'accès) pour vous connecter à l'application.
Dans Logto, la subvention est persistée dans la base de données en tant qu'entité d'objet, contenant des informations telles que l'ID du compte utilisateur, l'ID de l'application, les ressources OIDC associées et les scopes, le temps d'expiration, et plus encore. Chaque jeton de rafraîchissement et jeton d'accès est associé à un objet de subvention spécifique.
Les demandes HTTP faites au serveur d'autorisation par le biais d'APIs. Une application client peut envoyer des demandes de subvention à l'endpoint de jeton OIDC à diverses fins, y compris la demande d'une nouvelle subvention (par exemple, la connexion et l'obtention des jetons de rafraîchissement et d'accès), la mise à jour des détails de la subvention (par exemple, l'échange d'un jeton de rafraîchissement contre un nouveau jeton d'accès), ou la révocation d'une subvention (par exemple, la révocation de tous les jetons délivrés aux utilisateurs connectés et la fin de leur accès).
Une demande typique de subvention de code d'autorisation ressemble à ceci :
Rencontrer une erreur invalid_grant en OIDC indique généralement que le type de subvention ou les données associées à la demande de subvention sont invalides ou non supportées. Voici quelques raisons courantes derrière cette erreur :
invalid_grant. Assurez-vous que vous utilisez le type de subvention approprié en exploitant les SDKs Logto.invalid_grant.invalid_grant.invalid_grant se produit si le jeton de rafraîchissement est déjà expiré. De plus, pour une sécurité accrue, Logto active la rotation du jeton de rafraîchissement par défaut. Demander l'endpoint du jeton avec le même jeton de rafraîchissement une deuxième fois est considéré comme l'utilisation d'un jeton de rafraîchissement "tourné" et sera rejeté.Quelques astuces pour dépanner efficacement l'erreur "invalid_grant" :
invalid_grant, vous devriez la gérer correctement en initialisant à nouveau un flux d'inscription d'utilisateur. Si vous utilisez le SDK Logto, vous pouvez appeler la fonction signIn() à nouveau pour rediriger vos utilisateurs vers la page d'inscription.invalid_grant, comme "Grant not found" ou "Refresh token expired".L'erreur invalid_grant peut être un défi et une source de confusion pour les débutants, mais avec une compréhension claire des subventions OIDC et une attention aux détails, vous pouvez identifier et résoudre le problème vous-même. Rejoignez nos discussions sur Discord ou GitHub, et faites-nous savoir si ce blog a aidé à clarifier la confusion et à identifier les problèmes que vous rencontrez. L'équipe de développement de Logto est toujours heureuse de vous aider.
Ensemble, construisons une expérience d'authentification fluide et sécurisée pour vos applications bien-aimées.