Il flusso di autorizzazione PKCE di Spotify restituisce "code_verifier non era corretto"

Aug 19 2020

Ho seguito la guida all'autenticazione dell'API di Spotify per autenticare la mia app utilizzando PKCE.

A partire da ora, io sto usando un manichino di codice verificatore con un pre-calcolata sfida per il debug. Questi valori sono stati calcolati utilizzando più strumenti online ( SHA256 , SHA256 , base64url , base64url ) e corrispondono ai valori restituiti dalle funzioni di hashing / codifica che ho scritto in Swift. Sentiti libero di utilizzare i link sopra per verificarli.

let verifier = "aaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaa"
let challenge = "66d34fba71f8f450f7e45598853e53bfc23bbd129027cbb131a2f4ffd7878cd0"
let challengeBase64URL = "NjZkMzRmYmE3MWY4ZjQ1MGY3ZTQ1NTk4ODUzZTUzYmZjMjNiYmQxMjkwMjdjYmIxMzFhMmY0ZmZkNzg3OGNkMA"

Uso ASWebAuthenticationSession per effettuare la mia richiesta iniziale nel passaggio 2, in questo modo:

var components = URLComponents()
components.scheme = "https"
components.host = "accounts.spotify.com"
components.path = "/authorize"
components.queryItems = [
    URLQueryItem(name: "client_id", value: SpotifyClientID),
    URLQueryItem(name: "response_type", value: "code"),
    URLQueryItem(name: "redirect_uri", value: SpotifyRedirectURL.absoluteString),
    URLQueryItem(name: "code_challenge_method", value: "S256"),
    URLQueryItem(name: "code_challenge", value: challenge),
    URLQueryItem(name: "state", value: "testing-state"),
    URLQueryItem(name: "scope", value: "user-follow-read")
]
let urlString = components.url!.absoluteString

guard let authURL = URL(string: urlString) else { return }
print(authURL)
let authSession = ASWebAuthenticationSession(url: authURL, callbackURLScheme: callbackScheme, completionHandler: handleLoginResponse)
authSession.presentationContextProvider = self
authSession.prefersEphemeralWebBrowserSession = true
authSession.start()

In handleLoginResponse, analizzo la risposta nel passaggio 3 e faccio una richiesta di rete per il passaggio 4 utilizzando Alamofire:

guard let items = URLComponents(string: callbackURL?.absoluteString ?? "").queryItems else { return }
let authCode = items[0].value!
let endpoint = "https://accounts.spotify.com/api/token"

let headers = HTTPHeaders(["Content-Type": "application/x-www-form-urlencoded"])
let parameters: [String: String] = [
    "client_id": SpotifyClientID,
    "grant_type": "authorization_code",
    "code": authCode,
    "redirect_uri": SpotifyRedirectURL.absoluteString,
    "code_verifier": verifier!
]
AF.request(endpoint,
           method: .post,
           parameters: parameters,
           encoder: URLEncodedFormParameterEncoder.default,
           headers: headers
).cURLDescription() { description in
    print(description)
}
.responseJSON() { (json) in
    print(json)
}

Alamofire crea un'interfaccia per effettuare richieste cURL dall'interno di Swift e la chiamata cURLDescription()mi consente di vedere esattamente quale sia il comando cURL effettivo:

$ curl -v \
    -X POST \
    -b "__Host-device_id=AQBHyRKdulrPJU6vY5xlua1xKOZBtBZVcrW9IK-X0LQ_MPj5x3N4mZkF4OzgLMdQwviWUxJ2dY6d49d0QpjG0ayFtCfrhwzG5-g" \
    -H "User-Agent: SpotifyUserGraph/1.0 (hl999.SpotifyUserGraph; build:1; iOS 14.0.0) Alamofire/5.1.0" \
    -H "Accept-Encoding: br;q=1.0, gzip;q=0.9, deflate;q=0.8" \
    -H "Accept-Language: en-US;q=1.0, zh-Hans-US;q=0.9, ko-US;q=0.8" \
    -H "Content-Type: application/x-www-form-urlencoded" \
    -d "client_id=e11fb810282946569aab8f89e52f78d5&code=AQC3Lm3KDPFCg3mBjSAiXMyvjdn5GvUJCjjCTQzPhAFe5mLntAHcAeiEufXcCv3Jne2qn345MZxBNiCggO-35mn6AAFsjRlm5lPynyC6clWABSzBK1OdWIynTlf0CiyR8vWYeO54GHHEXBSzj6URKWnAiXuxTUV6n1Axra6Oet8FY6-0jwU0CNGMaB91q1JFXlyl5J9JvrRtrP3s2Ef8Xb5A7gcCzqW6RHRzO0--BKiPHFnprK0SitiLxi-md2aaMnS2aHsRTqvc_NfFcuRpFR05WmSm6Gvkk_9trSBqRvVZYuGs-Ap3-ydVGk7BCqNc3lpbh4Jku6W_930fOg9kI__zRA&code_verifier=aaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaa&grant_type=authorization_code&redirect_uri=hl999-spotifyusergraph%3A//spotify-login-callback" \
    "https://accounts.spotify.com/api/token"

È un po 'difficile da leggere, ma sono abbastanza sicuro che la richiesta sia stata fatta correttamente.

Tuttavia, al passaggio 4, ricevo sempre questo messaggio di errore dal server:

error = "invalid_grant";
"error_description" = "code_verifier was incorrect";

Ho provato molte cose nel corso di diverse ore e ancora non riesco a capirlo. Eventuali suggerimenti sarebbero molto apprezzati. Grazie!

Risposte

2 Sn0w0dDev Sep 17 2020 at 01:55

Il tuo problema è che i byte grezzi dell'hash SHA sono ciò che deve essere basato su 64. Sto anche lavorando a un'app che utilizza Alamofire e Spotify PKCE e ho avuto problemi con la verifica del codice. Quello che ho fatto è stato utilizzare del codice dalla documentazione Auth0 che è stata scritta per Swift 3 e modificato per funzionare con Swift 5:

import Foundation
import CommonCrypto
 
func challenge(verifier: String) -> String {
    
    guard let verifierData = verifier.data(using: String.Encoding.utf8) else { return "error" }
        var buffer = [UInt8](repeating: 0, count:Int(CC_SHA256_DIGEST_LENGTH))
 
        verifierData.withUnsafeBytes {
            CC_SHA256($0.baseAddress, CC_LONG(verifierData.count), &buffer)
        }
    let hash = Data(_: buffer)
    print(hash)
    let challenge = hash.base64EncodedData()
    return String(decoding: challenge, as: UTF8.self)
        .replacingOccurrences(of: "+", with: "-")
        .replacingOccurrences(of: "/", with: "_")
        .replacingOccurrences(of: "=", with: "")
        .trimmingCharacters(in: .whitespaces)
}
print(challenge(verifier: "ExampleVerifier"))

Spero che questo ti aiuti e buona fortuna a te!

GaryArcher Aug 19 2020 at 18:27

Quando ho utilizzato questo verificatore PKCE in linea, ho ricevuto una sfida diversa per il verificatore, quindi potrei riprovare con i valori forniti dallo strumento.

SICUREZZA COMPLESSIVA

Vorrei utilizzare una libreria di sicurezza rispettata come AppAuth, in modo da non dover codificare la sicurezza da soli. Le biblioteche ci aiutano a evitare potenziali errori e in futuro otterremo gratuitamente nuove funzionalità di sicurezza.