Device Authorization Flow

┌─────────────────┐                    ┌─────────────────┐
│   Appareil CLI  │                    │ Serveur Auris   │
│   (ou Smart TV) │                    │                 │
└────────┬────────┘                    └────────┬────────┘
         │                                      │
         │  1. POST /api/oauth/device            │
         │  client_id=xyz&scope=openid           │
         │─────────────────────────────────────>│
         │                                      │
         │  2. device_code, user_code,           │
         │     verification_uri, expires_in      │
         │<─────────────────────────────────────│
         │                                      │
         │  3. Afficher: "Aller sur             │
         │     accounts.altovar.net/activate                 │
         │     Entrer le code: WDJB-MJHT"        │
         │                                      │
         │  4. Poll POST /api/auth/token         │
         │     (toutes les interval secondes)    │
         │─────────────────────────────────────>│
         │                                      │
         │         [Utilisateur s'authentifie    │
         │          sur son téléphone/ordi]      │
         │                                      │
         │  5. 200 OK avec access_token          │
         │<─────────────────────────────────────│

POST /api/oauth/device
Content-Type: application/x-www-form-urlencoded
 
client_id=CLI_CLIENT_ID&scope=openid+profile+email

{
  "device_code": "GmRhmhcxhwAzkoEqiMEg_DnyEysNkuNhszIySk9eS",
  "user_code": "WDJB-MJHT",
  "verification_uri": "https://auth.yourdomain.com/activate",
  "verification_uri_complete": "https://auth.yourdomain.com/activate?user_code=WDJB-MJHT",
  "expires_in": 600,
  "interval": 5
}

Auris CLI — Connexion Requise

Ouvre ton navigateur sur :
  https://auth.yourdomain.com/activate

Entre le code :
  WDJB-MJHT

En attente d'autorisation... (expire dans 10 minutes)

POST /api/auth/token
Content-Type: application/x-www-form-urlencoded
 
grant_type=urn:ietf:params:oauth:grant-type:device_code
&device_code=GmRhmhcxhwAzkoEqiMEg_DnyEysNkuNhszIySk9eS
&client_id=CLI_CLIENT_ID

{
  "access_token": "eyJhbGciOiJFUzI1NiJ9...",
  "token_type": "Bearer",
  "expires_in": 3600,
  "refresh_token": "8xLOxBtZp8",
  "scope": "openid profile email",
  "id_token": "eyJhbGciOiJSUzI1NiJ9..."
}

async function loginDevice(clientId: string): Promise<TokenSet> {
  // Étape 1 : Demander les codes appareil
  const deviceRes = await fetch('https://auth.yourdomain.com/api/oauth/device', {
    method: 'POST',
    headers: { 'Content-Type': 'application/x-www-form-urlencoded' },
    body: new URLSearchParams({
      client_id: clientId,
      scope: 'openid profile email offline_access',
    }),
  })
  const { device_code, user_code, verification_uri, expires_in, interval } =
    await deviceRes.json()
 
  // Étape 2 : Afficher les instructions
  console.log(`\nOuvre : ${verification_uri}`)
  console.log(`Entre le code : ${user_code}\n`)
 
  // Étape 3 : Polling
  const deadline = Date.now() + expires_in * 1000
  let pollInterval = interval * 1000
 
  while (Date.now() < deadline) {
    await new Promise((resolve) => setTimeout(resolve, pollInterval))
 
    const tokenRes = await fetch('https://auth.yourdomain.com/api/auth/token', {
      method: 'POST',
      headers: { 'Content-Type': 'application/x-www-form-urlencoded' },
      body: new URLSearchParams({
        grant_type: 'urn:ietf:params:oauth:grant-type:device_code',
        device_code,
        client_id: clientId,
      }),
    })
 
    const data = await tokenRes.json()
 
    if (tokenRes.ok) return data
 
    if (data.error === 'slow_down') {
      pollInterval += 5000
    } else if (data.error === 'access_denied') {
      throw new Error('Autorisation refusée par l\'utilisateur')
    } else if (data.error === 'expired_token') {
      throw new Error('Code expiré. Réessaie.')
    }
    // authorization_pending → continuer le polling
  }
 
  throw new Error('Timeout — code expiré')
}