Настройка авторизации VK ID для Flutter

По умолчанию параметры PKCE, которые прeдотвращают последствия возможного перехвата кода авторизации, генерируются в SDK. Если вы используете схему авторизации через SDK с обменом кода на фронтенде, этого достаточно. Если вы используете схему авторизации через SDK с обменом кода на бэкенде, сгенерируйте параметры PKCE в приложении вашего сервиса согласно схеме и затем передайте их в SDK — в этой статье расскажем, как это сделать. Кроме того, необходимо явно указывать нужные доступы, например phone, email в scope, чтобы получать соответствующие данные пользователя. Эти доступы должны быть включены в настройках приложения.

Генерация параметров PKCE

Передавать параметры PKCE можно c помощью метода VKID.authorize(). В нём есть опция params, в которой можно указать необходимые параметры авторизации в поле flow. Вы можете сгенерировать state и codeChallenge сами, а SDK будет их использовать при работе. Также для этой опции есть аналог authParams. Ее можно указать в OneTap и OneTapBottomSheet — классах кнопки One Tap и шторки авторизации соответственно.

Требования к параметрам PKCE

codeVerifier — случайно сгенерированная строка, новая на каждый запрос авторизации. Формат a-z, A-Z, 0-9, _, -, длина от 43 до 128 символов;
codeChallenge — значение codeVerifier, преобразованное с помощью codeChallengeMethod и закодированное в base64url. Порядок преобразований: BASE64URL-ENCODE(SHA256(codeVerifier)) RFC-7636 Code Challenge;
codeChallengeMethod — метод шифрования codeVerifier, константа;
state — произвольная строка, которая состоит из символов a-z, A-Z, 0-9, _, -, длина не менее 32 символа. Допустимо использовать генератор UUID v4.

Пример генерации codeChallenge и codeVeridifer

import 'package:pkce/pkce.dart';

void main() {
  final pkcePair = PkcePair.generate();
  print(pkcePair.codeVerifier);
  print(pkcePair.codeChallenge);
}

Пример передачи codeChallenge и state

final flow = ConfidentialFlowData(state, codeChallenge);
(await VKID.getInstance()).authorize(
    ...
    authParams: UIAuthParamsBuilder()
        .withAuthFlow(flow)
        .build(),
    ...
)

Если вы предоставляете параметры PKCE в authorize извне, SDK не сможет обменять авторизационный код на токен — вам нужно будет сделать это самостоятельно.

При получении callback onAuthCode с авторизационным кодом сделайте запрос /oauth2/auth.
В callback вы получите параметр authCodeData, в котором находятся code, redirectUri и deviceId. Передайте их в запрос обмена кода на токены.

Пример запроса

curl "https://id.vk.ru/oauth2/auth" -d "client_id=7915193&grant_type=authorization_code&code_verifier=KnHKAdqyW57MUbjRcScaZRU9Bw26Kez9zwBgti...&device_id=1111&code=1f06e0c317b5b524c6&redirect_uri=vk7915193://vk.ru/blank.html"

Параметры запроса

Название	Описание
grant_type	Всегда имеет значение authorization_code
code	Код авторизации, полученный из callback onAuthCode
code_verifier	code_verifier, для которого был сгенерирован code_challenge
client_id	Идентификатор приложения. Должен совпадать с client id, который вы указали при инициализации SDK
device_id	Уникальный идентификатор вашего мобильного устройства, полученный из callback onAuthCode
redirect_uri	Адрес для редиректа после авторизации, полученный из callback onAuthCode
state	Уникальная строка, сгенерированная по тем же правилам, что и для авторизации. Подробнее см. в подразделе Требования к параметрам выше

Пример ответа

{
  "access_token": "XXXXX",
  "refresh_token": "XXXXX",
  "id_token": "XXXXX",
  "expires_in": 0,
  "user_id": 1234567890,
  "state": "XXX"
}

Настройка доступов

Права доступа определяют возможность использования Access token для работы с тем или иным разделом данных — за это отвечает параметр scopes. Права доступа могут быть изменены в настройках приложения. Если вы не указывали доступы при настройке приложения, будут использоваться базовые: фамилия и имя, фото профиля, пол и дата рождения (параметр vkid.personal_info).

(await VKID.getInstance()).authorize(
    ...
    params: AuthParamsBuilder()
        .withScopes({ "scope_1", "scope_2"})
        .build()
    ...
)

Также scopes можно указать в OneTap и OneTapBottomSheet — классах кнопки и шторки авторизации:

OneTap(
    ...
    authParams: UIAuthParamsBuilder()
        .withScopes(scopes?.split(" ").toSet() ?? const {})
        .build(),
    ...
)

Вы можете проверить полученные доступы через поле scopes в полученном AuthData. Обратите внимание, что после получения Access token происходит его привязка к IP-адресу:

если вы используете авторизацию через SDK с обменом кода на фронтенде, Access token привязывается к IP-адресу пользователя. Этот токен можно использовать только с того клиентского устройства, на котором прошла авторизация;
если вы используете авторизацию через SDK с обменом кода на бэкенде, Access token привязывается к IP-адресу бэкенда сервиса. Токен можно использовать только на одном бэкенд-сервере — на том, который получил этот токен. Если передать токен на другой бэкенд-сервер или на фронтенд, возникнет ошибка.

Дальнейшие шаги

Получите информацию о пользователе.