1 Fase di richiesta dell'autenticazione

Dobbiamo redirigere l'utente dal nostro sito al sito del Service Provider:

https://<Service Provider>/dialog/oauth

Passando i seguenti parametri:

client_id – corrisponde all’id della nostra applicazione precedentemente registrata sul Service Provider

redirect_uri – l’url al quale l’utente verrà rediretto dopo aver completato l’autenticazione ed aver autorizzato la nostra applicazione ad accedere alle informazioni riservate. Tale Url deve corrispondere all’Url impostata in fase di registrazione dell’applicazione.

scope – moduli ai quali la nostra applicazione ha bisogno di accedere.

2 Risposta del Service Provider

Se tutto va a buon fine, Facebook redirige l’utente verso l’url che gli abbiamo passato nella richiesta. Nell’url accoda il parametro code. Nella nostra Servlet, quindi, intercettiamo il parametro mediante la request. String code = request.getParameter("code");

Il parametro code ci serve per richiedere al Service Provider l’access token, necessario per invocare i servizi.

Se l’utente non concede l’autorizzazione, invece, non passerà il code, ma i seguenti parametri:

error_reason=user_denied error=access_denied error_description=The+user+denied+your+request

3 Richiesta del token al Service Provider

Il passo successivo consiste nel richiedere a Facebook l’access token. La chiamata è la seguente:

https://<Service Provicer>/oauth/access_token

Anche in questo caso, è necessario accodare all’URL i seguenti parametri obbligatori:

client_id – corrisponde all’id della nostra applicazione precedentemente registrata sul Service Provider

client_secret – corrispondende alla chiave segreta assegnata durante la fase di registrazione.

redirect_uri – l’url alla quale l’utente verrà rediretto dopo aver completato l’autenticazione ed aver autorizzato la nostra applicazione ad accedere alle informazioni riservate. Tale Url deve corrispondere all’Url impostata in fase di registrazione dell’applicazione.

code – il parametro appena ricevuto nell’url di risposta.

4 Risposta del Service Provider

Il Service Provider redirige nuovamente verso l’url che gli abbiamo passato nella richiesta. Il contenuto di tale pagina contiene una stringa di testo nella quale troviamo l’access token ed il parametro expires, che ci permette di capire se il token è scaduto o meno.