|
|
70c24ba158
|
fix(channels): CodeArts 改为真实 IAM OAuth 登录（PKCE + DPoP ES256）
此前标成 flow="paste"（手填凭据）是**错的**：参考 login.ts/oauth.ts 默认走
新式 IAM OAuth —— 起本地回调服务器（端口须 ≥10000）、打开 portal 授权页、
收 code 后带 DPoP 证明向华为 STS 端点换 AK/SK/securityToken。
逐项对齐参考：
- authorize URL：code_challenge_method=SHA-256（**不是** S256，错值会让
portal 回退旧 ticket 流程）、theme=2、locale=zh-cn、plugin-name=snap_AIIDE、
plugin-version=5.2.0，且**不得**含 auth_callback_url
- 回调路径 /oauth/callback，端口 ≥10000（低于此 portal 拒绝）
- PKCE：verifier=48 随机字节 base64url，challenge=sha256(verifier) base64url
- DPoP：ES256 JWS，header{alg,typ,jwk} + payload{htm,htu,iat,jti}，
签名为 **raw r||s 64 字节**（openssl 出 DER，必须转格式）
- token 请求：POST 表单 + DPoP 头；终态只认 invalid_grant /
ExpiredRefreshToken（**不认** InvalidDPoPHeader）
- 凭据含 refresh_token/code_verifier/dpop_private_key_jwk 以支持静默续期
- 旧 ticket 流程保留作回退（pollForCredential 语义）
本机实测的坑（已修）：xxd 不存在（用 od）；openssl ec -text 会截断 priv
（d 用 asn1parse 的 [HEX DUMP]，tail -c 32 拿到的是公钥 y）；min_port 参数
读到 argv[2]（与 out_path 冲突）。
判据（4 条，全绿）：
- TestCodeArtsDpopJwsVerifiesAsES256：用 Go crypto/ecdsa 当权威验签器，
验 JWS 是 64 字节 raw 且真实可验（只断言"能拼出字符串"防不住格式错）
- TestCodeArtsOAuthEndToEnd：假 STS 上游，检查交换请求形态（DPoP 头、
grant_type、code_verifier、redirect_uri）与凭据含续期材料
- TestCodeArtsLoopbackPortAtLeast10000：量实际端口与回调路径
- TestCodeArtsSignatureMatchesReference：既有签名判据
|
2026-10-13 16:51:15 +08:00 |
|
