Bug #28029
IDP_OIDC: en cas de redirect_uri invalide, ne pas rediriger
100%
Description
Il faut simplement afficher l'erreur.
Fichiers
Révisions associées
Historique
Mis à jour par Benjamin Dauvergne il y a plus de 5 ans
- Fichier 0002-idp_oidc-never-use-an-invalid-redirect_uri-fixes-280.patch 0002-idp_oidc-never-use-an-invalid-redirect_uri-fixes-280.patch ajouté
- Fichier 0001-idp_oidc-remove-unused-import.patch 0001-idp_oidc-remove-unused-import.patch ajouté
- Statut changé de Nouveau à Solution proposée
- Patch proposed changé de Non à Oui
Mis à jour par Serghei Mihai il y a plus de 5 ans
Je serais pour afficher le message explicite pourquoi la requete n'est pas valide: client_id invalide, redirect_uri invalide ?
Ainsi un client pourrait plus facilement comprendre ce que ne va pas, sans nous demander (et nous regarder dans les logs).
Mis à jour par Benjamin Dauvergne il y a plus de 5 ans
Serghei Mihai a écrit :
Je serais pour afficher le message explicite pourquoi la requete n'est pas valide: client_id invalide, redirect_uri invalide ?
Ça n'intéresse pas les utilisateurs finaux, quand on affiche des messages techniques aux gens ça les stresse, tout ce que doit dire ce message, c'est que le problème vient du site d'origine.
À nous de documenter que ce message correspond aux trois cas suivants:Ainsi un client pourrait plus facilement comprendre ce que ne va pas, sans nous demander (et nous regarder dans les logs).
- client_id ou redirect_uri manquant
- client_id invalide
- redirect_uri invalide
Je serai ok si on pouvait afficher un message avec un petit bouton "En savoir plus" qui donnerait les détails mais messages ne le permet pas (il ne supporte que du texte pas de HTML).
C'est suffisamment rare et idiot comme erreur.
Mis à jour par Serghei Mihai il y a plus de 5 ans
- Statut changé de Solution proposée à Solution validée
Bon, d'accord.
Mis à jour par Benjamin Dauvergne il y a plus de 5 ans
- Statut changé de Solution validée à Résolu (à déployer)
- % réalisé changé de 0 à 100
Appliqué par commit authentic2|4c45876e0a2ad22d1d8da7d316c30fcd879d5c8a.
Mis à jour par Frédéric Péters il y a plus de 5 ans
- Statut changé de Résolu (à déployer) à Solution déployée
idp_oidc: never use an invalid redirect_uri (fixes #28029)
Check of "redirect_uri" move earlier during authorization request
processing. For any redirect_uri check failure errors are only shown to
the end user and redirect_uri is never used to redirect to the
requesting RP.