Acessando APIs protegidas por OAuth 2.0

OAuth 2.0 é um framework de autorização que permite que usuários concedam a aplicações de terceiros permissão para acessar serviços em seu nome, eliminando a necessidade de inserir credenciais repetidamente, ao mesmo tempo em que garante segurança e flexibilidade.

Este guia demonstra como depurar APIs OAuth 2.0 usando o Apidog, com o login por conta Google como exemplo prático.

Entendendo o fluxo do OAuth 2.0

Em um cenário típico de OAuth 2.0:

Cliente: seu site ou aplicação

Servidor de autorização: o serviço que fornece autenticação (por exemplo, Google)

Servidor de recursos: o serviço que hospeda recursos protegidos

Pré-requisitos

Antes de testar APIs OAuth 2.0, certifique-se de ter:

Um cliente OAuth registrado no servidor de autorização (por exemplo, Google API Console Project)

Credenciais de ID do cliente e segredo do cliente

URIs de redirecionamento configuradas

Se você ainda não registrou um Google API Console Project, consulte a documentação oficial para criar um novo cliente OAuth.

Fluxo de autorização OAuth 2.0

Etapa 1: Solicitar autorização do usuário

Quando um usuário clica no botão "Sign in with Google", seu site envia uma requisição ao servidor de autorização OAuth 2.0 do Google para obter permissão para acessar a conta Google do usuário.

A requisição de autorização é enviada para https://accounts.google.com/o/oauth2/v2/auth/ com os seguintes parâmetros:

Parâmetro	Obrigatório	Descrição
`client_id`	Obrigatório	O ID do cliente da sua aplicação na página de credenciais do API Console
`redirect_uri`	Obrigatório	Para onde o servidor da API redireciona o usuário após a autorização. Deve corresponder exatamente a um dos URIs de redirecionamento autorizados na configuração do seu cliente OAuth 2.0
`response_type`	Obrigatório	Defina como `code` para aplicações de servidor web receberem um código de autorização
`scope`	Obrigatório	Lista de escopos delimitada por espaços que identifica os recursos que sua aplicação pode acessar em nome do usuário
`access_type`	Recomendado	`online` (padrão) ou `offline`. Use `offline` se sua aplicação precisar atualizar tokens de acesso quando o usuário não estiver presente
`state`	Recomendado	Qualquer valor de string para manter o estado entre sua requisição de autorização e a resposta do servidor de autorização

Esta tabela mostra os parâmetros básicos exigidos pelo Google OAuth 2.0. Muitos outros parâmetros opcionais estão disponíveis para personalizar a experiência do usuário e a segurança. Consulte a documentação oficial para obter detalhes completos.

Etapa 2: O usuário concede autorização

O Google apresenta uma tela de consentimento solicitando permissão para acessar os recursos especificados.

Resultados possíveis:

Usuário aprova: o Google envia um token de autorização para seu servidor web

Usuário nega: o Google envia uma mensagem de erro para seu servidor web

Etapa 3: Trocar o código de autorização por um token de acesso

Depois que o usuário concede permissão, o código de autorização é incluído na resposta. A resposta aparece na string de consulta:

# Error response
http://example.com/#error=access_denied&state=state_parameter_passthrough_value

# Success response
http://example.com/#state=state_parameter_passthrough_value&access_token=***&token_type=Bearer&expires_in=***&scope=email%20https://www.googleapis.com/auth/userinfo.email%20openid&authuser=0&prompt=consent

Extraia o token de acesso da URL para usar com outros serviços da API do Google.

Etapa 4: Acessar recursos protegidos

Usando a API Openidconnect como exemplo, você pode acessar as informações da conta Google do usuário enviando uma requisição com o token de acesso.

Testando no Apidog:

Crie uma nova requisição no seu projeto do Apidog

Use a URL: https://openidconnect.googleapis.com/v1/userinfo?access_token=ACCESS_TOKEN

Substitua ACCESS_TOKEN pelo seu token real

Clique em Enviar

Enviando requisição com token de acesso no Apidog

Etapa 5: Receber informações do usuário

O Google verifica a validade do token de acesso e determina o cliente autorizado associado.

Resultados possíveis:

Token válido: o Google responde com as informações do usuário

Token inválido/expirado: o Google responde com uma mensagem de erro

Resposta bem-sucedida com informações do usuário

A resposta da API é um objeto JSON contendo as informações da conta Google do usuário, como picture e email. Seu site pode usar esses dados para exibir automaticamente o perfil do usuário sem entrada manual.

Benefícios de usar o Apidog para testes de OAuth 2.0

Usar o Apidog para depurar APIs OAuth 2.0 oferece:

Visibilidade clara sobre os parâmetros exigidos por processos upstream e downstream

Experiência de desenvolvimento otimizada com gerenciamento visual de parâmetros

Validação do fluxo de trabalho antes de escrever código

Redução do tempo de depuração durante a implementação

Depois que o fluxo de trabalho completo for executado com sucesso no Apidog, os desenvolvedores backend poderão escrever código com confiança para concluir o processo de negócios sem precisar verificar durante o desenvolvimento.

Referências

Documentação do Google OAuth 2.0

📄 Código-fonte de exemplo de página web

HTML:

JavaScript:

Acessando APIs protegidas por OAuth 2.0

Entendendo o fluxo do OAuth 2.0#

Pré-requisitos#

Fluxo de autorização OAuth 2.0#

Etapa 1: Solicitar autorização do usuário#

Etapa 2: O usuário concede autorização#

Etapa 3: Trocar o código de autorização por um token de acesso#

Etapa 4: Acessar recursos protegidos#

Etapa 5: Receber informações do usuário#

Benefícios de usar o Apidog para testes de OAuth 2.0#

Referências#

Entendendo o fluxo do OAuth 2.0

Pré-requisitos

Fluxo de autorização OAuth 2.0

Etapa 1: Solicitar autorização do usuário

Etapa 2: O usuário concede autorização

Etapa 3: Trocar o código de autorização por um token de acesso

Etapa 4: Acessar recursos protegidos

Etapa 5: Receber informações do usuário

Benefícios de usar o Apidog para testes de OAuth 2.0

Referências