Процесс авторизации Spotify PKCE возвращает «code_verifier неверен»

Aug 19 2020

Я следовал руководству по аутентификации Spotify API, чтобы аутентифицировать свое приложение с помощью PKCE.

На данный момент я использую фиктивный верификатор кода с предварительно рассчитанной задачей для отладки. Эти значения были рассчитаны с использованием нескольких онлайн-инструментов ( SHA256 , SHA256 , base64url , base64url ) и соответствуют значениям, возвращаемым функциями хеширования / кодирования, которые я написал на Swift. Не стесняйтесь использовать эти ссылки выше, чтобы проверить это.

let verifier = "aaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaa"
let challenge = "66d34fba71f8f450f7e45598853e53bfc23bbd129027cbb131a2f4ffd7878cd0"
let challengeBase64URL = "NjZkMzRmYmE3MWY4ZjQ1MGY3ZTQ1NTk4ODUzZTUzYmZjMjNiYmQxMjkwMjdjYmIxMzFhMmY0ZmZkNzg3OGNkMA"

Я использую ASWebAuthenticationSession, чтобы сделать свой первоначальный запрос на шаге 2, например:

var components = URLComponents()
components.scheme = "https"
components.host = "accounts.spotify.com"
components.path = "/authorize"
components.queryItems = [
    URLQueryItem(name: "client_id", value: SpotifyClientID),
    URLQueryItem(name: "response_type", value: "code"),
    URLQueryItem(name: "redirect_uri", value: SpotifyRedirectURL.absoluteString),
    URLQueryItem(name: "code_challenge_method", value: "S256"),
    URLQueryItem(name: "code_challenge", value: challenge),
    URLQueryItem(name: "state", value: "testing-state"),
    URLQueryItem(name: "scope", value: "user-follow-read")
]
let urlString = components.url!.absoluteString

guard let authURL = URL(string: urlString) else { return }
print(authURL)
let authSession = ASWebAuthenticationSession(url: authURL, callbackURLScheme: callbackScheme, completionHandler: handleLoginResponse)
authSession.presentationContextProvider = self
authSession.prefersEphemeralWebBrowserSession = true
authSession.start()

В handleLoginResponse, я анализирую ответ на шаге 3 и делаю сетевой запрос для шага 4, используя Alamofire:

guard let items = URLComponents(string: callbackURL?.absoluteString ?? "").queryItems else { return }
let authCode = items[0].value!
let endpoint = "https://accounts.spotify.com/api/token"

let headers = HTTPHeaders(["Content-Type": "application/x-www-form-urlencoded"])
let parameters: [String: String] = [
    "client_id": SpotifyClientID,
    "grant_type": "authorization_code",
    "code": authCode,
    "redirect_uri": SpotifyRedirectURL.absoluteString,
    "code_verifier": verifier!
]
AF.request(endpoint,
           method: .post,
           parameters: parameters,
           encoder: URLEncodedFormParameterEncoder.default,
           headers: headers
).cURLDescription() { description in
    print(description)
}
.responseJSON() { (json) in
    print(json)
}

Alamofire создает интерфейс для выполнения запросов cURL из Swift, и вызов cURLDescription()позволяет мне точно увидеть, чем в конечном итоге является фактическая команда cURL:

$ curl -v \
    -X POST \
    -b "__Host-device_id=AQBHyRKdulrPJU6vY5xlua1xKOZBtBZVcrW9IK-X0LQ_MPj5x3N4mZkF4OzgLMdQwviWUxJ2dY6d49d0QpjG0ayFtCfrhwzG5-g" \
    -H "User-Agent: SpotifyUserGraph/1.0 (hl999.SpotifyUserGraph; build:1; iOS 14.0.0) Alamofire/5.1.0" \
    -H "Accept-Encoding: br;q=1.0, gzip;q=0.9, deflate;q=0.8" \
    -H "Accept-Language: en-US;q=1.0, zh-Hans-US;q=0.9, ko-US;q=0.8" \
    -H "Content-Type: application/x-www-form-urlencoded" \
    -d "client_id=e11fb810282946569aab8f89e52f78d5&code=AQC3Lm3KDPFCg3mBjSAiXMyvjdn5GvUJCjjCTQzPhAFe5mLntAHcAeiEufXcCv3Jne2qn345MZxBNiCggO-35mn6AAFsjRlm5lPynyC6clWABSzBK1OdWIynTlf0CiyR8vWYeO54GHHEXBSzj6URKWnAiXuxTUV6n1Axra6Oet8FY6-0jwU0CNGMaB91q1JFXlyl5J9JvrRtrP3s2Ef8Xb5A7gcCzqW6RHRzO0--BKiPHFnprK0SitiLxi-md2aaMnS2aHsRTqvc_NfFcuRpFR05WmSm6Gvkk_9trSBqRvVZYuGs-Ap3-ydVGk7BCqNc3lpbh4Jku6W_930fOg9kI__zRA&code_verifier=aaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaa&grant_type=authorization_code&redirect_uri=hl999-spotifyusergraph%3A//spotify-login-callback" \
    "https://accounts.spotify.com/api/token"

Это немного сложно читать, но я уверен, что запрос сделан правильно.

Однако на шаге 4 я всегда получаю от сервера это сообщение об ошибке:

error = "invalid_grant";
"error_description" = "code_verifier was incorrect";

Я много чего перепробовал за несколько часов, но до сих пор не могу понять. Любые указатели будут очень признательны. Благодаря!

Ответы

2 Sn0w0dDev Sep 17 2020 at 01:55

Ваша проблема в том, что необработанные байты хэша SHA - это то, что нужно base64ed. Я также работаю над приложением, которое использует Alamofire и Spotify PKCE, и у меня возникли проблемы с кодом. Я использовал код из документации Auth0, который был написан для Swift 3, и модифицировал его для работы со Swift 5:

import Foundation
import CommonCrypto
 
func challenge(verifier: String) -> String {
    
    guard let verifierData = verifier.data(using: String.Encoding.utf8) else { return "error" }
        var buffer = [UInt8](repeating: 0, count:Int(CC_SHA256_DIGEST_LENGTH))
 
        verifierData.withUnsafeBytes {
            CC_SHA256($0.baseAddress, CC_LONG(verifierData.count), &buffer)
        }
    let hash = Data(_: buffer)
    print(hash)
    let challenge = hash.base64EncodedData()
    return String(decoding: challenge, as: UTF8.self)
        .replacingOccurrences(of: "+", with: "-")
        .replacingOccurrences(of: "/", with: "_")
        .replacingOccurrences(of: "=", with: "")
        .trimmingCharacters(in: .whitespaces)
}
print(challenge(verifier: "ExampleVerifier"))

Надеюсь, это поможет и удачи вам!

GaryArcher Aug 19 2020 at 18:27

Когда я использовал этот онлайн-верификатор PKCE, у меня возникла другая проблема для верификатора, поэтому я, возможно, попробую повторить попытку со значениями, которые дает вам инструмент.

ОБЩАЯ БЕЗОПАСНОСТЬ

Я бы использовал уважаемую библиотеку безопасности, такую ​​как AppAuth, так что вам не нужно самостоятельно кодировать безопасность. Библиотеки помогают нам избежать потенциальных ошибок, и в будущем мы бесплатно получим новые функции безопасности.

ИНТЕГРАЦИЯ АППАРАТА

Если вы заинтересованы в таком подходе, эти шаги и мои ресурсы могут оказаться полезными:

  • Запуск образца AppAuth
  • Затем обновите конфигурацию, чтобы убедиться, что она работает со Spotify.
  • Advanced AppAuth Sample охватывает некоторые более подробные области, позволяющие решить общие проблемы с мобильным OAuth.

КОД

Вот мой код Swift, который объединяет библиотеки, и обработка PKCE на низком уровне не требуется.