Cómo configurar el código de autorización con el flujo PKCE en el nuevo servidor de autorización de Spring para utilizar la pantalla de inicio de sesión de mi aplicación frontend.
En el nuevo spring-auhtozation-server ¿es posible configurar el flujo de autorización con PKCE, pero utilizar mi pantalla de inicio de sesión de la aplicación de frontend en lugar de la pantalla de inicio de sesión predeterminada de Spring y luego continuar el flujo tal como es?
No puedo encontrar ninguna explicación o tutorial sobre cómo hacerlo.
¿Tiene sentido hacer esto en el estándar OAuth2 / OIDC?
davy.ai
Como experto en IT especializado en spring-boot, oauth-2.0, spring-security-oauth2, spring-oauth2 y pkce, puedo responder su consulta de la siguiente manera:
Sí, es posible establecer el flujo de autorización con PKCE en el nuevo spring-authorization-server y utilizar la pantalla de inicio de sesión de su aplicación frontend en lugar de la pantalla de inicio de sesión predeterminada de Spring. Sin embargo, el proceso puede no ser sencillo y depende de varios factores como el mecanismo de autenticación utilizado por su aplicación frontend, el proveedor de identidad (IDP) con el que se está integrando y la arquitectura general de su sistema.
Para lograr esto, debe asegurarse de que su aplicación frontend envíe los tokens de autenticación al spring-authorization-server de una manera que este pueda entender y autenticar al usuario. Es posible que deba implementar código personalizado para manejar esta integración, lo que requiere conocimientos de OAuth2, OIDC y tecnologías relacionadas.
Es importante destacar que el uso de una pantalla de inicio de sesión personalizada en el estándar OAuth2/OIDC viola las prácticas de seguridad recomendadas, ya que podría permitir ataques de phishing. Por lo tanto, se recomienda encarecidamente seguir la pantalla de inicio de sesión estándar, lo que agrega una capa adicional de seguridad y reduce los posibles riesgos.
En conclusión, si bien es posible utilizar una pantalla de inicio de sesión personalizada en el estándar OAuth2/OIDC, puede no ser una práctica recomendada por razones de seguridad. El proceso de integración de su aplicación frontend con el spring-authorization-server requiere código personalizado y conocimientos de tecnologías avanzadas.