- Expédié
- 18 octobre 2026 à 06:52 UTC
- Auteur
- Kamo
- S'engager
- 9916478
/api/login, /api/session/sélectionner et /api/login/mfa accepter une option oauthRequestId (64 hex). Absent, rien ne change (tests/***-cookie pins) la réponse de chaque itinéraire et Set-Cookie). Présent mais mal formé: 400 avant Tout ce qui est demandé à SecurityService. Valable, une fois que SecurityService a répondu avec une clé unique et le *** id a été lu de OTK<otk> comme aujourd'hui: O3 attache dépense la clé, le navigateur obtient {succès, oauthNext} et jamais le clé ou l'espace de travail redirection, et le cookie *** est placé exactement comme une installation ordinaire — seulement lorsque le consentement est le suivant (une installation expirée demande ou un défaut ne laisse aucun cookie). Une clé indépendable est racontée comme une faute, jamais comme une erreur d'identification. Les réponses MFA et espace de travail sont relayées comme aujourd'hui ; la page conserve l'identifiant de requête et l'envoie avec le prochain appel. Signe de l'Auth In (own balisup in OAuthShell): nom d'utilisateur/mot de passe avec le même Capcha d'épreuve de travail, StrikeMeter/LockoutPanel inchangé, MfaStep (nouveau: code à six chiffres ou code de récupération, son propre lock-out), WorkspacePicker inchangé avec les logos laissés en dehors (ils vivent sur le thème.<apex>). MfaStep est utilisé seulement ici ; la page standard n'est pas touchée. /oauth/consentement: client et champs d'application, l'explication iot.voix (spéc 4.24.3), nouveau lien (nom 1-120, par défaut Alexa) ou REPLACE par lien listé, Motifs d'éligibilité en mots (SI, pas AI), Lien Alexa / Annuler; suit redirectionPour seulement quand il s'agit de https: (O4 liste pas de redirection URIs à comparer avec). - Oui. relais O2/O4/O5 avec *** cookie sous la forme de X-***-Token, transmettre uniquement le consentementToken/décision/lien, et effacer le cookie lorsqu'une décision est prise. la sortie est la sortie.mjs (pas .ts) pour que node --test puisse l'importer.