Come funziona "OAuth a 3 vie"?

ORCID integrazioni utilizzano "OAuth a 3 vie" per autenticare gli utenti e richiedere l'autorizzazione per interagire con i loro record. Qualsiasi integrazione può richiedere autorizzazioni di lettura utilizzando l'API pubblica. ORCID i membri possono utilizzare l'API dei membri per richiedere le autorizzazioni di aggiornamento. Funziona così:

• Crei un collegamento speciale
• Quando si fa clic, l'utente viene inviato a ORCID
  • ORCID chiede all'utente di accedere
  • ORCID chiede all'utente di concedere l'autorizzazione alla tua applicazione
  • ORCID rimanda l'utente al tuo sistema con un codice di autorizzazione
• Il tuo sistema scambia quel codice con un token di accesso

L'URL di autorizzazione personalizzato include le informazioni del tuo cliente, nonché gli "ambito" che specificano le aree specifiche del loro record a cui desideri accedere. Dopo l'accesso, l'utente autorizza la connessione con il tuo sistema e viene restituito alla tua pagina di destinazione insieme a un codice di autorizzazione. Questo codice viene quindi utilizzato per ottenere il loro ORCID iD insieme a un token di accesso valido per gli ambiti richiesti.

Crea il link di autorizzazione e ottieni un codice di autorizzazione

Puoi creare il tuo collegamento di autorizzazione specificando l'ID client delle tue credenziali API e la landing page associata (URI di reindirizzamento). Puoi scegliere quali autorizzazioni richiedere impostando il parametro di ambito.

L'esempio seguente richiede il permesso di leggere i dati ad accesso limitato sul ORCID server di test sandbox. Nel mondo reale visualizzi questo collegamento sul tuo sito Web o lo includi in un'e-mail quando chiedi all'utente di autenticarsi e autorizzare. Tuttavia, a scopo di test, puoi semplicemente incollarlo nel tuo browser web. Sostituisci i dati tra parentesi con le informazioni del tuo cliente e assicurati di rimuovere le parentesi quadre!

https://sandbox.orcid.org/oauth/authorize?client_id=[Your client ID]&response_type=code&scope=/read-limited&redirect_uri=[Your landing page]

Una volta che l'utente ha fatto clic sul collegamento, ha effettuato l'accesso a ORCID e le autorizzazioni concesse vengono reindirizzate al tuo sito, in questo modo:

https://[Your landing page]?code=Q70Y3A

Scambiare il codice di autorizzazione con un ORCID iD e token di accesso

È necessario scambiare immediatamente il codice di autorizzazione per il ORCID iD e token di accesso. Il codice di autorizzazione scade al momento dell'uso. La richiesta è simile a questa e non può essere fatto in un browser web, deve essere creato dal tuo server.

 URL=https://sandbox.orcid.org/oauth/token
  HEADER: Accept: application/json
  HEADER: Content-Type: application/x-www-form-urlencoded
  METHOD: POST
  DATA: 
    client_id=[Your client ID]
    client_secret=[Your client secret]
    grant_type=authorization_code
    code=Six-digit code
    redirect_uri=[Your landing page]

ORCID restituirà quindi l'autenticazione del ricercatore ORCID iD e un token di accesso in formato JSON:

{"access_token":"f5af9f51-07e6-4332-8f1a-c0c11c1e3728","token_type":"bearer",
"refresh_token":"f725f747-3a65-49f6-a231-3e8944ce464d","expires_in":631138518,
"scope":"/read-limited","name":"Sofia Garcia","orcid":"0000-0001-2345-6789"}

I token di accesso sono di lunga durata per impostazione predefinita e scadono 20 anni dopo l'emissione. Il token può essere utilizzato più volte prima della scadenza.

Usa il token di accesso

I token di accesso a 3 gambe sono collegati a specifici ORCID disco. Per usarli, li includi nelle richieste API che fai per leggere o aggiornare quel record.