identity-svc

Callback del OP (302 a returnTo con la cookie de sesión)

Valida el callback contra el login sellado en la cookie de binding, crea la sesión de navegador y redirige a returnTo con la cookie __Host-styx_sess. Si falla, borra la cookie de binding.

GET
/auth/oidc/callback

Valida el callback contra el login sellado en la cookie de binding, crea la sesión de navegador y redirige a returnTo con la cookie __Host-styx_sess. Si falla, borra la cookie de binding.

Response Body

application/problem+json

application/problem+json

application/problem+json

application/problem+json

application/problem+json

application/problem+json

application/problem+json

application/problem+json

application/problem+json

curl -X GET "https://example.com/auth/oidc/callback"
{  "category": "transient",  "code": "IDENTITY_INVALID_INPUT",  "detail": "string",  "instance": "string",  "retryable": true,  "status": 400,  "title": "string",  "type": "string"}

Cerrar la sesión (cookie del navegador con CSRF, o refresh nativo en el body) POST

Cliente nativo: refresh token en el body. Navegador: cookie de sesión más CSRF de doble barrera (Sec-Fetch-Site u Origin exacto, y el token CSRF de la sesión); responde 204 con Clear-Site-Data.

Iniciar el login OIDC (302 al OP) GET

Prepara el login (PKCE, state y nonce sellados en la cookie de binding __Host-styx_login) y redirige al OP. returnTo tiene que pertenecer a un origen de la web. Con invite, la invitación se comprueba sin consumirla, viaja sellada con el login y se canjea en el callback (dec-0125 §7.3).