Acceso a APIs protegidas con OAuth 2.0
OAuth 2.0 es un marco de autorización que permite a los usuarios conceder permiso a aplicaciones de terceros para acceder a servicios en su nombre, lo que elimina la necesidad de introducir credenciales repetidamente y, al mismo tiempo, garantiza seguridad y flexibilidad.Esta guía demuestra cómo depurar APIs OAuth 2.0 con Apidog, utilizando el inicio de sesión con una cuenta de Google como ejemplo práctico.Comprender el flujo de OAuth 2.0#
En un escenario típico de OAuth 2.0:Cliente: Su sitio web o aplicación
Servidor de autorización: El servicio que proporciona autenticación (por ejemplo, Google)
Servidor de recursos: El servicio que aloja recursos protegidos
Requisitos previos#
Antes de probar APIs OAuth 2.0, asegúrese de tener:Un cliente OAuth registrado con el servidor de autorización (por ejemplo, un proyecto de Google API Console)
Credenciales de ID de cliente y secreto de cliente
URIs de redirección configurados
Si no ha registrado un proyecto de Google API Console, consulte la documentación oficial para crear un nuevo cliente OAuth. Flujo de autorización de OAuth 2.0#
Paso 1: Solicitar autorización del usuario#
Cuando un usuario hace clic en el botón "Iniciar sesión con Google", su sitio web envía una petición al servidor de autorización OAuth 2.0 de Google para obtener permiso para acceder a la cuenta de Google del usuario.La petición de autorización se envía a https://accounts.google.com/o/oauth2/v2/auth/ con los siguientes parámetros:| Parámetro | Obligatorio | Descripción |
|---|
client_id | Obligatorio | El ID de cliente de su aplicación desde la página de credenciales de API Console |
redirect_uri | Obligatorio | Donde el servidor de API redirige al usuario después de la autorización. Debe coincidir exactamente con uno de los URIs de redirección autorizados en la configuración de su cliente OAuth 2.0 |
response_type | Obligatorio | Establézcalo en code para que las aplicaciones de servidor web reciban un código de autorización |
scope | Obligatorio | Lista de ámbitos delimitada por espacios que identifica los recursos a los que su aplicación puede acceder en nombre del usuario |
access_type | Recomendado | online (predeterminado) u offline. Use offline si su aplicación necesita actualizar tokens de acceso cuando el usuario no está presente |
state | Recomendado | Cualquier valor de cadena para mantener el estado entre su petición de autorización y la respuesta del servidor de autorización |
Esta tabla muestra los parámetros básicos requeridos por Google OAuth 2.0. Hay muchos otros parámetros opcionales disponibles para personalizar la experiencia del usuario y la seguridad. Consulte la documentación oficial para obtener todos los detalles. Paso 2: El usuario concede la autorización#
Google presenta una pantalla de consentimiento que solicita permiso para acceder a los recursos especificados.El usuario aprueba: Google envía un token de autorización a su servidor web
El usuario deniega: Google envía un mensaje de error a su servidor web
Paso 3: Intercambiar el código de autorización por un token de acceso#
Después de que el usuario concede el permiso, el código de autorización se incluye en la respuesta. La respuesta aparece en la cadena de consulta:# Error response
http://example.com/#error=access_denied&state=state_parameter_passthrough_value
# Success response
http://example.com/#state=state_parameter_passthrough_value&access_token=***&token_type=Bearer&expires_in=***&scope=email%20https://www.googleapis.com/auth/userinfo.email%20openid&authuser=0&prompt=consent
Paso 4: Acceder a recursos protegidos#
Usando la API Openidconnect como ejemplo, puede acceder a la información de la cuenta de Google del usuario enviando una petición con el token de acceso.1.
Cree una nueva petición en su proyecto de Apidog
2.
Use la URL: https://openidconnect.googleapis.com/v1/userinfo?access_token=ACCESS_TOKEN
3.
Reemplace ACCESS_TOKEN por su token real
Token válido: Google responde con la información del usuario
Token no válido/caducado: Google responde con un mensaje de error
picture y email. Su sitio web puede utilizar estos datos para mostrar automáticamente el perfil del usuario sin entrada manual.Beneficios de usar Apidog para pruebas de OAuth 2.0#
Usar Apidog para depurar APIs OAuth 2.0 proporciona:Visibilidad clara de los parámetros requeridos por los procesos ascendentes y descendentes
Experiencia de desarrollo optimizada con gestión visual de parámetros
Validación del flujo de trabajo antes de escribir código
Reducción del tiempo de depuración durante la implementación
Referencias#
📄 Código fuente de página web de ejemplo
Modified at 2026-06-09 08:52:14
