Invalid grant: Password grant is disabled for insecure clients

[vdbrink]

Sinds vanavond werkt het opvragen van de token niet meer met grant_type=password. De error die ik krijg is Invalid grant: Password grant is disabled for insecure clients.

Heeft er iemand al een alternatieve manier voor de authenticatie?

[elisaado]

oh God help

[770grappenmaker]

De somtoday app gebruikt al langere tijd de "inloggen met somtoday" knop. Misschien is soortgelijk gebruik nu verplicht? Kleine check: heb je wel de client id meegegeven?

[vdbrink]

Client id stuur ik mee. Tot gisteravond werkte het ook nog prima. Nu waarschijnlijk overgestapt op een ander grant type op basis van een authenticatie code ipv username /password.

In de app zie ik 2 knoppen. De knop met Inloggen via Somtoday doet nu ook niks meer. Blijft alleen de knop Inloggen via Single Sign On over. Als ik daar op klik crashed de app. Dus ik kom er nu ook daar niet meer in.

[elisaado]

lmao somtoday heeft zichzelf genuked.

Maar ik denk dat ze inderdaad single sign on als enige inlogmethode willen pushen.

[Fish-o]

kan dit reproduceren, waarschijnlijk inderdaad iets met sso. Zal vanavond kijken hoe we dit kunnen aanpakken.

[770grappenmaker]

Ik kan nog wel "inloggen met somtoday"? Het zal wel verschillen per school. Vooralsnog lijkt het me dan dat somtoday een foutje heeft gemaakt inderdaad.

[bartoostveen]

Ik heb hier een fix voor gevonden. Als je in de sourcecode van de Somtoday Leerling app duikt, kun je erachter komen hoe dit werkt. Voor de client id is er namelijk nu een redirect uri bekend: somtodayleerling://oauth/callback, als je nu naar https://inloggen.somtoday.nl/oauth2/authorize?client_id=D50E0C06-32D1-4B41-A137-A9A850C892C2&response_type=code&scope=openid&redirect_uri=somtodayleerling%3A%2F%2Foauth%2Fcallback&tenant_uuid=(schoolid) gaat, zul je zien dat de browser daarna naar somtodayleerling://oauth:443/callback?code=(code)&iss=https://somtoday.nl zal gaan. Als je dat afwacht, kun je daarna een request sturen naar https://somtoday.nl/oauth2/token, maar dit keer met als grant_type authorization_code, session moet no_session zijn, er moet een tenant_uuid zijn, en verder blijft alles hetzelfde, behalve natuurlijk gebruikersnaam en wachtwoord.

[Fish-o]

Dag @25huizengek1 !
Een tijdje geleden heb ik een fork gemaakt met en een mogelijke fix gedocumenteerd.
Het lijkt overeen te komen met wat jij hier meld. Kan je kijken of wat er staat correct is en ook voor jou werkt? Dan kan ie gemerged worden!

https://github.com/Fish-o/somtoday-api-docs

[bartoostveen]

Dag @Fish-o
Wat ik in de gelinkte documentatie terugzie is een "browserloze" manier om in te loggen. Hier had ik niet over nagedacht, aangezien ik zelf maar accepteerde dat er een browser voor nodig was, want ik had toch al een UI in mijn code zitten. Mijn manier is vrijwel gelijk (op de state etc na), maar het verzenden van het formulier heb je ook gelijk gedocumenteerd, waardoor er dus geen browser vereist is. Dit lijkt me dus goede documentatie, behalve dat ik het niet kon reproduceren. Dit is waarschijnlijk omdat het portal nu een andere inlogflow heeft, met eerst gebruikersnaam, submit, en daarna pas wachtwoord.

Ik ging dus in de HTML kijken, en al vrij gauw kwam ik erachter dat op deze manier eerst een gebruikersnaam en daarna een wachtwoord wordt verwacht door het portaal. Ik haalde het field voor het wachtwoord weg en voilà, het werkte. Als je daarna een request stuurt als volgt: POST /login?1-1.-passwordForm&auth=(auth) met voor de rest gewoon hetzelfde als bij username, maar dan zonder de username weer opnieuw mee te geven, dan krijg je de code terug van de server. Het is misschien wel goed om mee te delen dat de cookies die bij het username request worden ontvangen, die ook weer terug naar de server moeten bij het wachtwoord. Wat ook verwarrend kan zijn is het volgende: als gebruikersnaam of wachtwoord niet overeenkomt, krijg je 200 OK, als het klopt juist 302 Found. Bij het verifiëren van de code is het weer andersom: bij success 200, anders 400.

Als deze dingen worden toegevoegd, kan er wat mij betreft een pull request komen.