CIBA (Backchannel-Authentifizierung)

const AURIS_DOMAIN = 'https://auth.yourdomain.com'
const CLIENT_ID = 'your-client-id'
const CLIENT_SECRET = 'your-client-secret'
 
// Schritt 1: Backchannel-Authentifizierung initiieren
const cibaResponse = await fetch(`${AURIS_DOMAIN}/api/oauth/ciba`, {
  method: 'POST',
  headers: {
    'Content-Type': 'application/x-www-form-urlencoded',
    'Authorization': `Basic ${btoa(`${CLIENT_ID}:${CLIENT_SECRET}`)}`,
  },
  body: new URLSearchParams({
    scope: 'openid profile',
    login_hint: '[email protected]',
    binding_message: 'Anmeldung beim Dashboard genehmigen',
  }),
}).then(r => r.json())
 
console.log('Auth-Request-ID:', cibaResponse.auth_req_id)
console.log('Benutzer erhält eine Benachrichtigung...')
 
// Schritt 2: Auf Token warten
const token = await pollForCibaToken(cibaResponse)
 
async function pollForCibaToken(cibaResponse) {
  const interval = cibaResponse.interval * 1000
  const expiresAt = Date.now() + cibaResponse.expires_in * 1000
 
  while (Date.now() < expiresAt) {
    await new Promise(resolve => setTimeout(resolve, interval))
 
    const response = await fetch(`${AURIS_DOMAIN}/api/auth/token`, {
      method: 'POST',
      headers: {
        'Content-Type': 'application/x-www-form-urlencoded',
        'Authorization': `Basic ${btoa(`${CLIENT_ID}:${CLIENT_SECRET}`)}`,
      },
      body: new URLSearchParams({
        grant_type: 'urn:openid:params:grant-type:ciba',
        auth_req_id: cibaResponse.auth_req_id,
      }),
    })
 
    if (response.ok) {
      return await response.json()
    }
 
    const error = await response.json()
 
    if (error.error === 'authorization_pending') continue
    if (error.error === 'slow_down') {
      await new Promise(r => setTimeout(r, 5000))
      continue
    }
    if (error.error === 'expired_token') {
      throw new Error('CIBA-Anfrage abgelaufen. Benutzer hat nicht rechtzeitig geantwortet.')
    }
    if (error.error === 'access_denied') {
      throw new Error('Benutzer hat die Authentifizierungsanfrage abgelehnt.')
    }
 
    throw new Error(`CIBA-Fehler: ${error.error}`)
  }
 
  throw new Error('CIBA-Anfrage abgelaufen.')
}

# Schritt 1: Backchannel-Authentifizierung initiieren
curl -X POST https://auth.yourdomain.com/api/oauth/ciba \
  -u "your-client-id:your-client-secret" \
  -H "Content-Type: application/x-www-form-urlencoded" \
  -d "scope=openid profile" \
  -d "[email protected]" \
  -d "binding_message=Anmeldung beim Dashboard genehmigen"
 
# Antwort:
# {
#   "auth_req_id": "1c266114-a1be-4252-8525-68e5427d093a",
#   "expires_in": 300,
#   "interval": 5
# }
 
# Schritt 2: Auf Token warten (alle `interval` Sekunden wiederholen)
curl -X POST https://auth.yourdomain.com/api/auth/token \
  -u "your-client-id:your-client-secret" \
  -H "Content-Type: application/x-www-form-urlencoded" \
  -d "grant_type=urn:openid:params:grant-type:ciba" \
  -d "auth_req_id=1c266114-a1be-4252-8525-68e5427d093a"
 
# Ausstehend (HTTP 400):
# { "error": "authorization_pending" }
 
# Erfolg (HTTP 200):
# {
#   "access_token": "eyJhbGciOiJSUzI1NiJ9...",
#   "token_type": "Bearer",
#   "expires_in": 3600,
#   "id_token": "eyJhbGciOiJSUzI1NiJ9...",
#   "refresh_token": "dGhpcyBpcyBhIHJlZnJlc2g..."
# }

// Ping-Modus: Auris sendet ein POST an deine Callback-URL, wenn der Benutzer antwortet.
// Dein Server tauscht dann die auth_req_id gegen ein Token.
 
// 1. Initiieren (identisch mit Poll-Modus, aber die Anwendung ist für Ping konfiguriert)
const cibaResponse = await fetch(`${AURIS_DOMAIN}/api/oauth/ciba`, {
  method: 'POST',
  headers: {
    'Content-Type': 'application/x-www-form-urlencoded',
    'Authorization': `Basic ${btoa(`${CLIENT_ID}:${CLIENT_SECRET}`)}`,
  },
  body: new URLSearchParams({
    scope: 'openid profile',
    login_hint: '[email protected]',
    binding_message: 'Zahlung von EUR 49,99 bestätigen',
  }),
}).then(r => r.json())
 
// 2. Auris sendet ein POST an deine registrierte Callback-URL:
// POST https://your-app.com/ciba/callback
// Content-Type: application/json
// {
//   "auth_req_id": "1c266114-a1be-4252-8525-68e5427d093a"
// }
 
// 3. Dein Callback-Handler tauscht auth_req_id gegen Token:
app.post('/ciba/callback', async (req, res) => {
  const { auth_req_id } = req.body
 
  const tokenResponse = await fetch(`${AURIS_DOMAIN}/api/auth/token`, {
    method: 'POST',
    headers: {
      'Content-Type': 'application/x-www-form-urlencoded',
      'Authorization': `Basic ${btoa(`${CLIENT_ID}:${CLIENT_SECRET}`)}`,
    },
    body: new URLSearchParams({
      grant_type: 'urn:openid:params:grant-type:ciba',
      auth_req_id,
    }),
  })
 
  const token = await tokenResponse.json()
  // Authentifizierte Sitzung verarbeiten...
 
  res.status(200).json({ ok: true })
})