Implementación de Iniciar sesión con X

Descripción general

La implementación de navegador de Iniciar sesión con X se basa en OAuth. Esta página muestra las solicitudes necesarias para obtener un access token en el flujo de inicio de sesión. Para usar el flujo de Iniciar sesión con X, ve a la configuración de tu X app y asegúrate de que la opción “Allow this app to be used to Sign in with X?” esté habilitada. Esta página asume que el lector sabe cómo firmar solicitudes usando el protocolo OAuth 1.0a. Si quieres saber cómo firmar una solicitud, lee la página Autorizando una solicitud. Si quieres comprobar la firma de las solicitudes de esta página, el consumer secret utilizado es:

L8qq9PZyRg6ieKGEKhZolGC0vJWLw8iEJ88DRdyOg

Este valor ha sido deshabilitado y no funcionará para solicitudes reales.

Paso 1: Obtener un request token

Para iniciar un flujo de sign-in, tu X app debe obtener un request token enviando un mensaje firmado a POST oauth / request_token. El único parámetro único en esta solicitud es oauth_callback, que debe ser una versión codificada en URL de la URL a la que quieres que se redirija a tu usuario cuando complete el paso 2. Los parámetros restantes se añaden mediante el proceso de firma OAuth.

Ten en cuenta - Cualquier URL de callback que uses con el endpoint POST oauth / request_token deberá estar en la whitelist dentro de la configuración de la X app en la developer console.

Solicitud de ejemplo (la cabecera Authorization ha sido dividida):

POST /oauth/request_token HTTP/1.1
User-Agent: themattharris' HTTP Client
Host: api.x.com
Accept: */*
Authorization:
        OAuth oauth_callback="http%3A%2F%2Flocalhost%2Fsign-in-with-x%2F",
              oauth_consumer_key="cChZNFj6T5R0TigYB9yd1w",
              oauth_nonce="ea9ec8429b68d6b77cd5600adbbb0456",
              oauth_signature="F1Li3tvehgcraF8DMJ7OyxO4w9Y%3D",
              oauth_signature_method="HMAC-SHA1",
              oauth_timestamp="1318467427",
              oauth_version="1.0"

Tu aplicación debe examinar el estado HTTP de la respuesta. Cualquier valor distinto de 200 indica un fallo. El cuerpo de la respuesta contendrá los parámetros oauth_token, oauth_token_secret y oauth_callback_confirmed. Tu aplicación debe verificar que oauth_callback_confirmed sea true y almacenar los otros dos valores para los siguientes pasos.

Respuesta de ejemplo (el cuerpo de la respuesta ha sido dividido):

HTTP/1.1 200 OK
Date: Thu, 13 Oct 2011 00:57:06 GMT
Status: 200 OK
Content-Type: text/html; charset=utf-8
Content-Length: 146
Pragma: no-cache
Expires: Tue, 31 Mar 1981 05:00:00 GMT
Cache-Control: no-cache, no-store, must-revalidate, pre-check=0, post-check=0
Vary: Accept-Encoding
Server: tfe

oauth_token=NPcudxy0yU5T3tBzho7iCotZ3cnetKwcTIRlX0iwRl0&
oauth_token_secret=veNRnAWe6inFuo8o2u8SLLZLjolYDmDP7SzL0YfYI&
oauth_callback_confirmed=true

Paso 2: Redirigir al usuario

El siguiente paso es dirigir al usuario a X para que pueda completar el flujo apropiado, tal como se describe en Flujo de inicio de sesión en el navegador. Dirige al usuario a GET oauth / authenticate, y el request token obtenido en el paso 1 debe pasarse como el parámetro oauth_token. La forma más fluida de que un sitio web implemente esto sería emitir una redirección HTTP 302 como respuesta a la solicitud original de “iniciar sesión”. Las aplicaciones móviles y de escritorio deberían abrir una nueva ventana del navegador o dirigirse a la URL mediante una vista web incrustada.

URL de ejemplo a la que redirigir:

https://api.x.com/oauth/authenticate?oauth_token=NPcudxy0yU5T3tBzho7iCotZ3cnetKwcTIRlX0iwRl0

El endpoint de inicio de sesión se comportará de una de tres maneras según el estado del usuario:

Con sesión iniciada y aprobado: si el usuario ha iniciado sesión en x.com y ya ha aprobado la aplicación que llama, será autenticado inmediatamente y devuelto a la URL de callback con un OAuth request token válido. La redirección a x.com no es evidente para el usuario.
Con sesión iniciada pero no aprobado: si el usuario ha iniciado sesión en x.com pero no ha aprobado la aplicación que llama, se mostrará una solicitud para compartir el acceso con la aplicación que llama. Después de aceptar la solicitud de autorización, el usuario será redirigido a la URL de callback con un OAuth request token válido.
Sin sesión iniciada: si el usuario no ha iniciado sesión en x.com, se le pedirá que introduzca sus credenciales y conceda acceso a la aplicación para acceder a su información en la misma pantalla. Una vez iniciada la sesión, el usuario será devuelto a la URL de callback con un OAuth request token válido.

Tras una autenticación exitosa, tu callback_url recibirá una solicitud que contendrá los parámetros oauth_token y oauth_verifier. Tu aplicación debería verificar que el token coincida con el request token recibido en el paso 1.

Solicitud desde la redirección del cliente (parámetros de la querystring divididos):

GET /sign-in-with-x/?
        oauth_token=NPcudxy0yU5T3tBzho7iCotZ3cnetKwcTIRlX0iwRl0&
        oauth_verifier=uw7NjWHT6OJ1MpJOXsHfNxoAhPKpgI8BlYDhxEjIBY HTTP/1.1
Host: localhost
User-Agent: Mozilla/5.0 (Macintosh; Intel Mac OS X 10_6_8) AppleWebKit/535.5 (KHTML, like Gecko) Chrome/16.0.891.1 Safari/535.5
Accept: text/html,application/xhtml+xml,application/xml;q=0.9,*/*;q=0.8
Referer: http://localhost/sign-in-with-x/
Accept-Encoding: gzip,deflate,sdch
Accept-Language: en-US,en;q=0.8
Accept-Charset: ISO-8859-1,utf-8;q=0.7,*;q=0.3

Paso 3: Convertir el request token en un access token

Para convertir el request token en un access token utilizable, tu aplicación debe hacer una solicitud al endpoint POST oauth / access_token, que contenga el valor oauth_verifier obtenido en el paso 2. El request token también se pasa en la parte oauth_token de la cabecera, aunque esto lo habrá añadido el proceso de firma.

Solicitud de ejemplo (cabecera Authorization dividida):

POST /oauth/access_token HTTP/1.1
User-Agent: themattharris' HTTP Client
Host: api.x.com
Accept: */*
Authorization: OAuth oauth_consumer_key="cChZNFj6T5R0TigYB9yd1w",
                     oauth_nonce="a9900fe68e2573b27a37f10fbad6a755",
                     oauth_signature="39cipBtIOHEEnybAR4sATQTpl2I%3D",
                     oauth_signature_method="HMAC-SHA1",
                     oauth_timestamp="1318467427",
                     oauth_token="NPcudxy0yU5T3tBzho7iCotZ3cnetKwcTIRlX0iwRl0",
                     oauth_version="1.0"
Content-Length: 57
Content-Type: application/x-www-form-urlencoded

oauth_verifier=uw7NjWHT6OJ1MpJOXsHfNxoAhPKpgI8BlYDhxEjIBY

Una respuesta exitosa contiene los parámetros oauth_token y oauth_token_secret. El token y el token secret deben almacenarse y usarse para futuras solicitudes autenticadas a la X API. Para determinar la identidad del usuario, utiliza GET account / verify_credentials.

Respuesta de ejemplo (el cuerpo de la respuesta ha sido dividido):

HTTP/1.1 200 OK
Date: Thu, 13 Oct 2011 00:57:08 GMT
Status: 200 OK
Content-Type: text/html; charset=utf-8
Content-Length: 157
Pragma: no-cache
Expires: Tue, 31 Mar 1981 05:00:00 GMT
Cache-Control: no-cache, no-store, must-revalidate, pre-check=0, post-check=0
Vary: Accept-Encoding
Server: tfe

oauth_token=7588892-kagSNqWge8gB1WwE3plnFsJHAZVfxWD7Vb57p0b4&
oauth_token_secret=PbKfYqSryyeKDWz4ebtY3o5ogNLG11WJuZBc9fQrQo

Getting Started

Products

Fundamentals

Partners & Customers

Resources

Implementación de Iniciar sesión con X

Descripción general

Paso 1: Obtener un request token

Solicitud de ejemplo (la cabecera Authorization ha sido dividida):

Respuesta de ejemplo (el cuerpo de la respuesta ha sido dividido):

Paso 2: Redirigir al usuario

URL de ejemplo a la que redirigir:

Solicitud desde la redirección del cliente (parámetros de la querystring divididos):

Paso 3: Convertir el request token en un access token

Solicitud de ejemplo (cabecera Authorization dividida):

Respuesta de ejemplo (el cuerpo de la respuesta ha sido dividido):

​Descripción general

​Paso 1: Obtener un request token

​Solicitud de ejemplo (la cabecera Authorization ha sido dividida):

​Respuesta de ejemplo (el cuerpo de la respuesta ha sido dividido):

​Paso 2: Redirigir al usuario

​URL de ejemplo a la que redirigir:

​Solicitud desde la redirección del cliente (parámetros de la querystring divididos):

​Paso 3: Convertir el request token en un access token

​Solicitud de ejemplo (cabecera Authorization dividida):

​Respuesta de ejemplo (el cuerpo de la respuesta ha sido dividido):

Descripción general

Paso 1: Obtener un request token

Solicitud de ejemplo (la cabecera Authorization ha sido dividida):

Respuesta de ejemplo (el cuerpo de la respuesta ha sido dividido):

Paso 2: Redirigir al usuario

URL de ejemplo a la que redirigir:

Solicitud desde la redirección del cliente (parámetros de la querystring divididos):

Paso 3: Convertir el request token en un access token

Solicitud de ejemplo (cabecera Authorization dividida):

Respuesta de ejemplo (el cuerpo de la respuesta ha sido dividido):