Como funciona o “OAuth de 3 pernas”?

ORCID as integrações usam “3 pernas OAuth” para autenticar usuários e solicitar permissão para interagir com seus registros. Qualquer integração pode solicitar permissões de leitura usando a API Pública. ORCID os membros podem usar a API Member para solicitar permissões de atualização. Funciona assim:

• Você cria um link especial
• Quando clicado, o usuário é enviado para ORCID
  • ORCID pede ao usuário para fazer login
  • ORCID pede ao usuário para conceder permissão ao seu aplicativo
  • ORCID envia o usuário de volta ao seu sistema com um código de autorização
• Seu sistema troca esse código por um token de acesso

A URL de autorização personalizada inclui as informações do seu cliente, bem como os 'escopos' que especificam as áreas específicas de seu registro que você deseja acessar. Após o login, o usuário autoriza a conexão com seu sistema e é retornado à sua página de destino juntamente com um código de autorização. Este código é então usado para obter seus ORCID iD junto com um token de acesso válido para os escopos solicitados.

Crie o link de autorização e obtenha um código de autorização

Você cria seu link de autorização especificando o ID do cliente de suas credenciais de API e a página de destino associada (URI de redirecionamento). Você escolhe quais permissões solicitar definindo o parâmetro de escopo.

O exemplo a seguir solicita permissão para ler dados de acesso limitado no ORCID servidor de teste sandbox. No mundo real, você exibe esse link em seu site ou o inclui em um e-mail ao solicitar que o usuário autentique e autorize. No entanto, para fins de teste, você pode simplesmente colá-lo em seu navegador da web. Substitua os dados entre colchetes pelas informações do seu cliente e certifique-se de remover os colchetes!

https://sandbox.orcid.org/oauth/authorize?client_id=[Your client ID]&response_type=code&scope=/read-limited&redirect_uri=[Your landing page]

Aquele em que o usuário clicou no link e fez login em ORCID e recebem permissões, eles são redirecionados de volta ao seu site, como este:

https://[Your landing page]?code=Q70Y3A

Troque o código de autorização por um ORCID iD e token de acesso

Você deve trocar imediatamente o código de autorização para o ORCID iD e token de acesso. O código de autorização expira após o uso. O pedido é assim e não pode ser feito em um navegador da web, deve ser feito pelo seu servidor.

 URL=https://sandbox.orcid.org/oauth/token
  HEADER: Accept: application/json
  HEADER: Content-Type: application/x-www-form-urlencoded
  METHOD: POST
  DATA: 
    client_id=[Your client ID]
    client_secret=[Your client secret]
    grant_type=authorization_code
    code=Six-digit code
    redirect_uri=[Your landing page]

ORCID irá então devolver o autenticado do pesquisador ORCID iD e um token de acesso no formato JSON:

{"access_token":"f5af9f51-07e6-4332-8f1a-c0c11c1e3728","token_type":"bearer",
"refresh_token":"f725f747-3a65-49f6-a231-3e8944ce464d","expires_in":631138518,
"scope":"/read-limited","name":"Sofia Garcia","orcid":"0000-0001-2345-6789"}

Os tokens de acesso têm longa duração por padrão e expiram 20 anos após a emissão. O token pode ser usado várias vezes antes de expirar.

Use o token de acesso

Tokens de acesso de três etapas estão vinculados a ORCID registro. Para usá-los, você os inclui nas solicitações de API que você faz para ler ou atualizar esse registro.