Authorization Code Flow

Die folgenden Abbildungen zeigen den OAuth2 Authorization Code Flow getrennt nach Lizenztyp. Der User ist als Akteur aufgeführt, weil er den Flow über den Login-Button startet, seine Credentials eingibt und – sofern erforderlich – Consent erteilt.

Basic

Bei Basic dient der Authorization Code Flow ausschließlich zur Bestätigung einer erfolgreichen DocCheck Authentifizierung. Es können keine Scopes, kein state und kein Consent verwendet werden; ein Userdaten-Abruf ist nicht möglich.

Economy/Business

Bei Economy und Business kann der Authorization Request zusätzlich scope und state enthalten. Wenn Scopes angefragt werden, kann ein Consent-Formular erforderlich sein. Anschließend können freigegebene Userdaten über den Userdaten-Endpunkt abgerufen werden.

Auth Code Flow – kurz erklärt

Diese vereinfachte Darstellung erklärt den Authorization Code Flow ohne technische Detailtiefe.

Consent ist nur bei Economy und Business möglich.

Basic Besonderheiten

• Kein state möglich.
• Keine Scope-Abfrage möglich.
• Kein Consent-Formular möglich.
• Kein Userdaten-Abruf über den Userdaten-Endpunkt.
• Der Flow endet nach dem erfolgreichen Tausch des Authorization Codes gegen einen Access Token.

Hinweise

• Der Authorization Code wird nach erfolgreicher Authentifizierung an die redirect_uri übergeben.
• Der Token-Tausch erfolgt serverseitig über POST /token.
• In Basic bestätigt der Access Token nur die erfolgreiche DocCheck Authentifizierung; danach endet der Basic Auth Flow.
• Ab Economy/Business können scope und state optional bereits im Authorization Request mitgeschickt werden.
• Werden Scopes angefragt, kann dadurch ein Consent-Formular erforderlich werden.
• Das Consent-Formular kann entfallen, wenn der User die Einwilligung für diesen Client bereits erteilt hat.
• Der Userdaten-Endpunkt kann nur mit gültigem Access Token genutzt werden, sofern Lizenz, Scopes und Consent passen.