Implementación de Resource Owner Password Flow con Auth0

Curso de OAuth 2.0 y OpenID Connect: Flujos de Autenticación y Casos de Estudio

Contenido del curso

Introducción a OAuth 2.0 y OIDC

JSON Web Tokens

Open Authorization 2.0

Open ID Connect

OAuth y OIDC en producción

Tomar examen

Cursos Empresas Blog Live Conf Eventos Precios

0:008:34

Implementación de Resource Owner Password Flow con Auth0

Curso de OAuth 2.0 y OpenID Connect: Flujos de Autenticación y Casos de Estudio

Clase 18 de 25

Clase 18 / 25

Recursos

¿Cómo implementar el Resource Owner Password Flow con Auth0?

El Resource Owner Password Flow es uno de los métodos menos recomendados para la autenticación en aplicaciones modernas debido a sus riesgos de seguridad. Sin embargo, aún tiene su lugar en aplicaciones "legacy" que no permiten hacer redireccionamientos y donde se confía completamente en el cliente. Aprenderemos a implementarlo usando Auth0, asegurándonos de que podamos manejar las credenciales del usuario adecuadamente.

¿Cómo configurar una aplicación en Auth0?

Crear una cuenta en Auth0: Dirígete a Auth0.com y asegúrate de tener una cuenta.
Crear una nueva aplicación:
- En el dashboard, navega a "Applications" y selecciona "Create Application".
- Asigna un nombre a la aplicación, por ejemplo, "Resolves Owner Password Auth0".
- Selecciona "Regular Web App" si usas un backend, como Next.js.
- Accede a "Settings" y desplázate a "Advanced Settings" para activar el tipo de grant "password".
Configurar el API:
- Crea un API con un nombre, por ejemplo, "Resolves Owner Password API".
- Usa un URL ficticio para identificador como https://resown.api.com.
- En "Permissions", agrega el scope que tu API necesita, como "Read Sample".

¿Cómo permitir nombres de usuario en Auth0?

Para que Auth0 acepte nombres de usuario, sigue estos pasos:

Accede a la base de datos por defecto de Auth0.
Habilita la opción "Requires Username".
Guarda los cambios realizados.
Configura en "Settings" el nombre de la base de datos bajo "API Authorization Settings", asegurándote de copiar y pegar correctamente el valor esperado.

¿Cómo crear un usuario para la autenticación?

Crear el usuario:
- Usa un correo electrónico cualquiera.
- Asegúrate de que la contraseña sea segura y cumpla con los requisitos de Auth0.
- Elige un nombre de usuario relevante, como tu handle de redes sociales.
Verificar que la contraseña sea válida: Auth0 te alertará si la contraseña es considerada débil, en cuyo caso deberías agregar símbolos o números.

¿Cómo configurar las variables de entorno?

Después de haber copiado el Client ID, Client Secret y el dominio desde Auth0, necesitas configurar estas variables en tu aplicación. Asegúrate de incluir:

Nombre de usuario.
Contraseña del usuario.
Dominio.
Identificador del API (Audience).
Client ID y Client Secret.

¿Cómo implementar el flujo en tu aplicación?

Modificar archivo de login:
- Asegúrate de definir los scopes necesarios, como "read sample".
- Establece el grant_type a "password".
- Incluye el Client ID, Client Secret y el Audience en las variables de entorno.
- Realiza una solicitud al endpoint de token de Auth0.
Almacenar access token de manera segura:
- Introduce el token en una cookie si el cliente tiene un backend.
- Asegúrate de que el código maneja de manera adecuada el access token para propósitos de debugging, posiblemente usando herramientas como JWT.io.

¿Qué más deberías saber?

Aunque es un flujo legacy, sigue siendo compatible con el estándar de tokens de acceso implementado en otros flujos. Este flujo permite mantener compatibilidad para aplicaciones que no pueden adoptar métodos más modernos de autenticación debido a limitaciones estructurales.

Te animamos a que pongas en práctica esta implementación en un entorno diferente a Auth0 para comprender mejor los mecanismos subyacentes y las alternativas que ofrecen otras plataformas de autenticación. ¡Sigue aprendiendo y desafíate a ti mismo!

Introducción a OAuth 2.0 y OIDC

Qué aprenderás en OAuth y OpenID Connect

¿Qué es la autenticación?

Autorización y Control de Acceso Basado en Roles

OAuth y OpenID Connect para qué sirve cada uno

Cómo proteger endpoints con tokens en Express

Flujo de Open Authorization y Open ID con Discord

JSON Web Tokens

Estructura y firma de un JSON Web Token

Sesiones vs JWT: qué cambia y cuándo usarlos

Firmado de JSON Web Tokens con Librería JWT en Node.js

Verificar JWT con HS256 y RS256 en Node.js

Open Authorization 2.0

Implementación de flujos OAuth 2.0 con APIs populares

Flujos de autorización en OAuth 2.0

Cómo elegir el flujo correcto en OAuth 2.0

Authorization Code Flow con Spotify paso a paso

PKCE con OAuth 2.0 en la API de Twitter

Implementación de Implicit Flow con Twitch en React

Implementación de Client Credentials Flow en Discord

Implementación de Resource Owner Password Flow con Auth0

Open ID Connect

OpenID Connect sobre OAuth 2.0

Implicit Flow con Form Post en Auth0

Qué es el hybrid flow en OpenID Connect

OAuth y OIDC en producción

Buenas prácticas y riesgos de los JSON Web Tokens (JWT)

Buenas prácticas de OAuth y cuándo no usarlo

Autenticación Rápida con NextAlt y GitHub en Next.js

Qué sigue después de OAuth y OpenID

Implementación de Resource Owner Password Flow con Auth0

Progreso del curso

Introducción a OAuth 2.0 y OIDC

JSON Web Tokens

Open Authorization 2.0

Open ID Connect

OAuth y OIDC en producción

Recursos

Recursos