Cadeia OAuth OIDC de Competição

Use esta habilidade apenas como uma especialização downstream depois que $ctf-sandbox-orchestrator já estiver ativa e tiver estabelecido suposições de sandbox, propriedade de nó e prioridades de evidência. Se isso ainda não aconteceu, retorne para $ctf-sandbox-orchestrator primeiro.

Use esta habilidade quando a parte difícil for provar como um fluxo OAuth ou OIDC é moldado, trocado e, finalmente, aceito.

Responda em português do Brasil, a menos que o usuário solicite explicitamente o inglês.

Início Rápido

1. Mapeie a cadeia de autenticação em ordem: rota de entrada, redirecionamento, solicitação de autorização, callback, troca de token, atualização e serviço de aceitação final.
2. Registre escopos, estado, nonce, material PKCE, URIs de redirecionamento e tokens que contêm claims antes de modificar qualquer coisa.
3. Separe a posse do token da aceitação real da identidade.
4. Mantenha os redirecionamentos visíveis no navegador e a troca de token visível no backend em uma cadeia compacta.
5. Reproduza o menor fluxo de redirecionamento para aceitação que prove a vantagem decisiva de identidade.

Fluxo de Trabalho

1. Mapeie o Caminho de Redirecionamento e Token

• Registre o emissor, ID do cliente, URI de redirecionamento, parâmetros de autorização, parâmetros de callback, endpoint de token e caminho de atualização.
• Observe quais valores são controlados pelo usuário, derivados, armazenados em cache ou validados: state, nonce, verificador PKCE, público, escopo ou prompt.
• Mantenha os redirecionamentos do navegador, as trocas do lado do servidor e o estado de sessão resultante interligados.

2. Prove a Aceitação de Token para Identidade

• Mostre como o código, token de ID, token de acesso ou token de atualização se transforma em sessão de aplicativo, mapeamento de claims, seleção de tenant ou privilégio aceito.
• Registre os claims do token, expiração, público, assunto, escopos e o aplicativo exato ou a borda do backend que aceita.
• Distinga o sucesso do login da UI do sucesso da autorização do backend.

3. Reduza à Cadeia OAuth Decisiva

• Comprima o resultado na menor sequência: solicitação de entrada -> redirecionamento -> callback -> aceitação de token ou claim -> capacidade resultante.
• Mantenha um fluxo bom canônico e um fluxo mutado mínimo se uma alteração de parâmetro for importante.
• Se a tarefa se expandir para roteamento web genérico ou comportamento de armazenamento fora da cadeia de autenticação, volte para a habilidade mais ampla de tempo de execução web.

Leia esta Referência

• Carregue references/oauth-oidc-chain.md para a lista de verificação de redirecionamento, lista de verificação de token e empacotamento de evidências.
• Se a parte difícil for a análise do cabeçalho JWT, normalização de claims, pesquisa de chaves ou confusão na validação de token após a emissão, prefira $competition-jwt-claim-confusion.

O Que Preservar

• URIs de redirecionamento, parâmetros, códigos, claims de token, escopos e o serviço ou callback que aceita
• O ponto exato onde os claims ou tokens se tornam identidade de aplicativo aceita
• Uma sequência mínima reproduzível de redirecionamento para aceitação