Modificando nuestro Layout

Clase 22 de 39 • Curso de Autenticación con OAuth

Luis Fernando Díaz Devos

student•

Quedan muchas dudas, párese mas una clase de programación de NODE, se perdió la esencia de lo que es la AUTH, y si ahora es C++ o python, creo que no voy a tener muchas librerías

Luis Lazcano

student•

Si lo realizas en c++ p phton tendrían que se servidas con Implementando Authorization Code Grant

Pero en este ejemplo se demuestra como implementarlo en el cliente con una SPA con Implementando Implicit Grant

Jesus Olivares

student•

En ningun lado del curso hablas de como se debe implementar este flujo en el backend... Ni das informacion detallada de como es eso en el backend... Simplemente estas usando el api de spotify y ya ellos tienen todos esos flujos en su backend listos.

Gleycer Parra

student•

Aún no tengo claro como generar estos flujos a nivel de backend para crear mi propio servidor de autenticación. Bien por las integraciones con Spotify pero no sabemos aún como generar las diferentes partes necesarias para completar los flujos.

uRieL Martinez Bautista

student•

Usa Keycloak, Desarrollar un servidor de Autenticación es bastante complejo. Si deseas hacer tus propios flujos usa Spring Security OAuth (Reciente los descontinuaron).

José Luis Morales Ruiz

student•

Hola a todos. Este curso está increíble. Les dejo unos commits que realicé en mi repo ya que actualicé next y react a su última versión y no me corría correctamente la implementación de Implicit Grant. Espero les sea de utilidad: Nombre del modulo AppLayout (más por que se llame igual que el archivo) AppNavbar convertido en clase de JS

Ameth Ordoñez Erazo

student•

Copia y pega, copia y pega, porque del resto... es la hora y todavia no se como implementar OAuth en mi propio backend

Geordano González Rabadán

student•

Me intersa conocer como configurar el OAUTH2.0 para un proyecto que estoy haciendo y he encontrado mas apoyo en youtube- Tendras un tutorial mas practico ?

Jose Galbis Soler

student•

Estoy atascado en la redireccion del loggin. Me aparece el error Invalid_Client: invalid redirect uri

Por mi parte he portado el codigo a react hooks. Al principio creia que seria algun fallo en la portabilidad. Ya que la direccion en el .env es la que se indica por Guillermo en el final del video. Despues de revisar la documentacion de Spotify y hacer varias pruebas, no he conseguido nada. Entonces decido bajarme el proyecto de archivos completo y instalarlo con las dependencias que utiliza Guillermo de hace 2 años. Que estan llenas de vulnerabilidades actualmente, pero pensaba que habria alguna diferencia, pero nada sigue dandome el mismo error.

SPOTIFY_REDIRECT_URI=http://localhost:3001/callback

Utilizo esta direccion, no se si estoy poniendola mal, o es algo de Spotify... algun consejo o ayuda?

Camilo Ramirez

student•

Problablemente tienes mal la configuración de Redirect URIs en el settings del dashboard de Spotify:

Jose Galbis Soler

student•

Buff cuanto tiempo he pasado inspeccionando el codigo! Y me olvide de esa parte del dashboard. Muchas gracias, ya funciona! :) <3

Juan Alejandro León Lozano

student•

Como puedo implementar todo esto en Angular 8 y usando Typescript?

Jesus Olivares

student•

Te respondí en el video anterior. Pero creo que este video te ayudará un poco a entender mejor las cosas https://platzi.com/clases/1649-passport/21983-arquitectura-del-proyecto-platzi-video/ Posdata: lo que me gusta de este profesor es como deja el código fuente, de resto no le entiendo nada (primera vez q me pasa esto en platzi). Entiendo mas el código fuente q lo que el explica, tengo q estar googleando mucho

Danny Chambi

student•

¿Es recomendable guardar texto plano en local storage?

Guillermo Rodas

teacher•

Dependiendo el contenido del texto y su funcionalidad. Puedes contarme cual es la intención?

Javier Batres

student•

La respuesta corta es NO. Depende de muchas cosas que datos son y demás pero la verdad es algo que debes evitar a toda costa, ante todo por que se te hace costumbre…

Misael Mondragón Lenis

student•

El botón login tiene un onclick que nos sirve para llamar a la función login donde se crea la url con los parámetros para ir a la página de autorización incluyendo el estado.

La función login redirige a la persona para que autorice a nuestra aplicación el acceso a los recursos dentro de Spotify

Spotify redirige hacia nuestro callback con unos query params

Sacamos de la url los parámetros del query que corresponden al token, el estado y la fecha de expiración del token guardamos el token y los demas parametros en memoria (en este caso el localstorage aunque no es recomendado pero se hace por practicidad)

Utilizamos, en un request posterior, el token en el header de autorizacion para traer la información de nuestro usuario de spotify

En conclusion, a diferencia del Authorization Code Grant Flow, el Implicit Grant lo que hace es devolvernos el token inmediatamente en una petición tipo get, sin necesidad de realizar un segundo request para ahi si obtener el token, ademas no utilizamos el client secret. Es mas rapida y fue la solucion mas sencilla en los tiempos que se implementaba

Recomiendo: What's going on with the OAuth 2.0 Implicit flow? ahi explican mas a detalle los riesgos concretos de usarlo.

David Hilera

student•

Las partes de músicas abruman con la información, deberían de llevar más tiempo en la explicación.

Alberto Camarena

student•

Sigo sin entender en donde debemos almacenar el JWT en el lado del cliente, lo único que dijo fue que no lo hiciéramos en localstorage aunque él lo hizo ahí :/

Freddy Alejandro Leal Gonzalez

student•

En este caso, no debemos almacenarlo nunca ya que una página web o una aplicación externa a nuestro servidor son vulnerables. Solo debemos guardarla en una variable (en memoria) y desde ahí usarla.

Auth0 nos permite identificarnos cada vez que iniciemos nuestra aplicación, voy a usar a IONIC de ejemplo:

En primer lugar debo identificarme y obtener un token para iniciar a utilizar nuestro servidor de aplicaciones, o servidor de recursos. (solo hay ahí ya es complejo)
Enviar el toquen a nuestro servidor de recursos y validarlos es otra historia (no menos complejo que lo anterior)

Hasta hay Ok, pero como nunca debemos guardar el token, cuando cierre mi aplicación ese token se perderá... el camino que entiendo que es mejor "por ahora" es solicitar nuevamente a Auth0 un nuevo token cuando arranque su la aplicación. La implementación de esto fue sencillo después de haber implementado el punto 1, pero cambia variando de la tecnología.

Recuerda que, debemos responder la siguiente pregunta siempre: "Nuestro cliente es capaz de guardar un secreto?". Si la respuesta es NO, y casi siempre lo es. debemos no guardar el token ni refresh token, ni ninguna otra secret.

Si me encuentro equivocado también sería genial que alguien me comentara ideas, porque este curso me dejo mas dudas que respuesta, y si ese era el objetivo lo lograron!!!!

Buenas suerte Alberto, fuerza!!!