เรียนรู้พื้นฐานของการให้สิทธิ์ OpenID Connect (OIDC) และวิธีแก้ปัญหาข้อผิดพลาด "invalid_grant"
ในชุมชนของเรา เรามักจะได้ยินคำถามซ้ำ ๆ จากผู้ใช้ของเรา: เกิดอะไรขึ้นกับข้อผิดพลาด "invalid_grant" ใน Logto? เช่น #503
นี่เป็นความท้าทายทั่วไปและตัวอุดตันสำหรับผู้ใช้บางรายของเราเมื่อทำงานร่วมกับ Logto ในแอปพลิเคชันของตนเอง อย่างไรก็ตาม สาเหตุที่ทำให้เกิดข้อผิดพลาดนี้จะแตกต่างกันไปตามกรณี และบางครั้งก็ยากที่จะอธิบายด้วยบริบทที่จำกัดที่มีอยู่ ดังนั้นการทำความเข้าใจแนวคิด OIDC อย่างถูกต้องและเรียนรู้วิธีการแก้ปัญหาจึงเป็นสิ่งสำคัญสำหรับทุกคน
ตอนนี้เรามาสำรวจพื้นฐานของการให้สิทธิ์ OIDC กันเถอะ
ตามที่เราได้แนะนำใน โพสต์บล็อก ก่อนหน้านี้ OpenID Connect (OIDC) เป็นโปรโตคอลที่สร้างขึ้นบน OAuth 2.0
ในบริบทของ OIDC หรือ OAuth2 grant คือชุดของสิทธิ์ที่เจ้าของทรัพยากร (โดยปกติคือผู้ใช้) มอบหมายให้กับแอปพลิเคชันไคลเอนต์ สิทธิ์การเข้าถึงมีความสำคัญสำหรับแอปพลิเคชันไคลเอนต์ในการเข้าถึงข้อมูลประจำตัวของผู้ใช้และทรัพยากรคุ้มครองอื่น ๆ OIDC กำหนดหลายประเภทการให้สิทธิ์ แต่ละประเภทเหมาะกับสถานการณ์ที่แตกต่างกันและวิธีที่แอปพลิเคชันได้รับโทเค็นการเข้าถึง
นี่คือการเปรียบเทียบที่จะช่วยให้คุณเข้าใจการให้สิทธิ์ OIDC ได้ดียิ่งขึ้น
จินตนาการว่าคุณกำลังเดินทางไปยังประเทศต่าง ๆ และแต่ละประเทศต้องการตราประทับวีซ่าสำหรับการเข้าประเทศ ในสถานการณ์นี้ หนังสือเดินทางของคุณทำหน้าที่เป็นบัญชีผู้ใช้ของคุณ ซึ่งมีข้อมูลส่วนบุคคลของคุณ การให้สิทธิ์ OIDC ก็เหมือนกับวิธีที่คุณสมัครวีซ่าเพื่อเข้าประเทศหนึ่ง เมื่อคุณได้รับวีซ่า คุณก็เท่ากับได้รับ "โทเค็น" เพื่อเข้าไปในประเทศนั้น
ในทำนองเดียวกัน เมื่อใช้แอปพลิเคชัน การขอสิทธิ์คือการกระทำที่คุณขอให้เซิร์ฟเวอร์การให้สิทธิ์มอบสิทธิ์ให้คุณเข้าใช้งาน แอปพลิเคชัน และเซิร์ฟเวอร์ การให้สิทธิ์ยืนยันตัวตนของคุณและออก "วีซ่า" (โทเค็นการเข้าถึง) เพื่อให้คุณลงชื่อเข้าใช้งานแอปพลิเคชันได้
ใน Logto การให้สิทธิ์ถูกเก็บในฐานข้อมูลเป็นออบเจ็กต์เอนติตี้ ซึ่งมีข้อมูลเช่น ID บัญชีผู้ใช้ ID ของแอปพลิเคชัน ทรัพยากร OIDC ที่เกี่ยวข้องและขอบเขต เวลาหมดอายุ และอื่น ๆ แต่ละการให้สิทธิ์และการให้สิทธิ์รีเฟรชจะผูกพันกับออบเจ็กต์การให้สิทธิ์เฉพาะ
คำขอ HTTP ที่ส่งไปยังเซิร์ฟเวอร์การให้สิทธิ์ผ่าน API แอปพลิเคชันไคลเอนต์สามารถส่งคำขอการให้สิทธิ์ไปยังจุดสิ้นสุดโทเค็น OIDC เพื่อวัตถุประสงค์ต่าง ๆ รวมถึงการขอการให้สิทธิ์ใหม่ (เช่น ลงชื่อเข้าใช้และได้รับการให้สิทธิ์รีเฟรชและการให้สิทธิ์เข้าถึง) อัปเดตรายละเอียดการให้สิทธิ์ (เช่น การแลกเปลี่ยนการให้สิทธิ์รีเฟรชเป็นการให้สิทธิ์เข้าถึงใหม่) หรือยกเลิกการให้สิทธิ์ (เช่น ยกเลิกโทเค็นที่ออกให้กับผู้ใช้ที่ลงชื่อเข้าใช้และหยุดการเข้าถึงของพวกเขา)
คำขอ Authorization Code Grant ทั่วไปดูดังนี้:
เจอข้อผิดพลาด invalid_grant ใน OIDC โดยปกติจะบ่งชี้ว่าประเภทการให้สิทธิ์หรือข้อมูลที่เกี่ยวข้องกับคำขอการให้สิทธิ์ไม่ถูกต้องหรือไม่รองรับ นี่คือบางสาเหตุทั่วไปที่ทำให้เกิดข้อผิดพลาดนี้:
invalid_grant ตรวจสอบให้แน่ใจว่าคุณใช้ประเภทการให้สิทธิ์ที่เหมาะสมโดยใช้ SDKs ของ Logtoinvalid_grantinvalid_grantinvalid_grant เกิดขึ้นหากโทเค็นรีเฟรชหมดอายุแล้ว นอกจากนี้เพื่อเพิ่มความปลอดภัย Logto เปิดใช้งาน การหมุนโทเค็นรีเฟรช โดยค่าเริ่มต้น การร้องขอจุดสิ้นสุดโทเค็นด้วยโทเค็นรีเฟรชเดียวกันเป็นครั้งที่สองถือเป็นการใช้โทเค็นรีเฟรช "หมุน" และจะถูกปฏิเสธเคล็ดลับในการแก้ปัญหาข้อผิดพลาด "invalid_grant" อย่างมีประสิทธิภาพ:
invalid_grant คุณควรจัดการอย่างถูกต้องโดยการเริ่มกระบวนการลงชื่อเข้าใช้ของผู้ใช้อีกครั้ง ถ้าคุณกำลังใช้ Logto SDK คุณสามารถเรียกฟังก์ชั่น signIn() อีกครั้งเพื่อเปลี่ยนเส้นทางผู้ใช้ของคุณกลับไปยังหน้าลงชื่อเข้าใช้invalid_grant เช่น "ไม่พบการให้สิทธิ์" หรือ "โทเค็นรีเฟรชหมดอายุ"ข้อผิดพลาด invalid_grant สามารถท้าทายและสับสนสำหรับผู้เริ่มต้น แต่ด้วยความเข้าใจที่ชัดเจนเกี่ยวกับการให้สิทธิ์ OIDC และความสนใจในรายละเอียด คุณสามารถระบุและจัดการปัญหาด้วยตัวคุณเองได้ เข้าร่วมการสนทนาของเราใน Discord หรือ GitHub และบอกเราหากบล็อกนี้ช่วยทำให้ความสับสนเกิดความกระจ่างและระบุปัญหาที่คุณกำลังเผชิญได้ ทีมพัฒนาของ Logto ยินดีที่จะช่วยเหลือคุณเสมอ
มาร่วมกันสร้างประสบการณ์การยืนยันตนอย่างราบรื่นและปลอดภัยสำหรับแอปพลิเคชันของคุณที่คุณรัก