URI de redirección exactas y registro de clientes

Cuando una aplicación se registra, declara las direcciones exactas donde quiere recibir la respuesta. En cada solicitud, el servidor debe comparar la redirect_uri pedida con las registradas como cadenas completas, carácter por carácter. RFC 9700 lo exige así y admite una sola excepción: las aplicaciones nativas que reciben la respuesta en la dirección local de la propia máquina (loopback) pueden variar el puerto, porque el sistema les asigna uno libre cada vez que arrancan.

Todo lo demás (prefijos, comodines de subdominio, rutas «que empiezan igual», parámetros añadidos) convierte una dirección registrada en una familia de direcciones, y basta con que una de ellas no esté bajo control del cliente para que el código de la persona salga hacia otro lado.

Abre comparar_redireccion.py. La función tiene tres ramas: la dirección local, el comodín y el caso general. Lee la rama general y su comentario: el equipo quiso «no romper» rutas o parámetros añadidos, y eso define exactamente qué URI pedidas acepta.

Un redireccionador abierto es una página del propio cliente que lleva al navegador a cualquier dirección que reciba por parámetro. Por sí solo parece menor, pero junto a una comparación por prefijo se vuelve el puente: la respuesta de autorización llega a una ruta «válida» del cliente, y esa ruta reenvía el navegador hacia fuera con lo que traiga. RFC 9700 pide que ni el cliente ni el servidor de autorización tengan páginas así.

Cruza entregas-por-uri.txt con uris-registradas.json y con ayuda_salir.js.

Un comodín de subdominio delega en el cliente la promesa de que todos sus subdominios, presentes y futuros, son suyos y están bien cuidados. Un entorno de pruebas olvidado, un nombre que apunta a un servicio dado de baja o una agencia con su propio despliegue bastan para que esa promesa se rompa. Por eso la regla es registrar cada dirección completa, una por entorno.

Compara las entregas al cliente del socio con lo que el socio declaró en dominios-declarados.txt.

Un buen informe no lista todo lo que se ve raro: separa lo que rompe la regla de lo que la regla permite. En las entregas aparecen dos respuestas al mismo cliente con direcciones que no son idénticas a la registrada. Vuelve a la tarea 1 y a la rama de comparar_redireccion.py que las aceptó.