Alles, was sgcAuth kann, aufgeschlüsselt nach den zwei Client-Komponenten, den Grant-Typen und Claims, die sie umsetzen, und der WebAuthn-Fähigkeit, die das Paket zusammen mit sgcCustomIndy freischaltet. Jede Fähigkeit arbeitet in Delphi und C++ Builder identisch, und jede Lizenz enthält den vollständigen Quellcode.
Fünf Grant-Typen, eine Komponente
Signieren, anhängen oder verifizieren
Passkeys, über sgcCustomIndy
Delphi 7 bis 13, C++ Builder
sgcAuth ist in sich geschlossen. Es bringt die sgcWebSockets Core Runtime mit, es ist also kein Add-on für den OAuth2- und den JWT-Client.
Auch in sgcWebSockets enthalten. Sowohl der OAuth2 Client als auch der JWT Client sind außerdem ab der Standard-Edition in sgcWebSockets enthalten. All-Access enthält alles. sgcAuth ist das eigenständige Paket für Teams, die nur die Authentifizierungs-Clients brauchen.
Zwei Seiten desselben Problems, registriert auf der Palettenseite SGC Auth.
| Komponente | Klasse | Aufgabe | Beschreibung |
|---|---|---|---|
| OAuth2 Client | TsgcHTTP_OAuth2_Client | Ein Token holen | Authorization Code, PKCE, Client Credentials, Resource Owner Password und Device Code gegen jeden OAuth2-/OIDC-Anbieter, mit eingebautem lokalem Redirect-Server. |
| JWT Client | TsgcHTTP_JWT_Client | Ein Token signieren | Erstellt, signiert und verifiziert JSON Web Tokens, eigenständig oder als Bearer-Token-Quelle für TsgcWebSocketClient, TsgcHTTP1Client und TsgcHTTP2Client. |
TsgcHTTP_OAuth2_Client deckt OAuth 2.0 (RFC 6749) durchgängig ab: Sie startet den Flow, fängt die Weiterleitung ab, tauscht den Code gegen ein Token und verwaltet das Token danach.
| Fähigkeit | API | Hinweise |
|---|---|---|
| Authorization Code | OAuth2Options.GrantType := auth2Code | Der Standard-Flow für vertrauenswürdige serverseitige Webanwendungen, die ein Client-Secret halten können. |
| Authorization Code + PKCE | auth2CodePKCE (RFC 7636) | Derselbe Flow mit einem Proof Key for Code Exchange, für native, mobile und Single-Page-Anwendungen, die kein Secret aufbewahren können. |
| Client Credentials | auth2ClientCredentials | Server-zu-Server-Aufrufe ohne beteiligten Benutzer: Daemons und Service-Konten. |
| Resource Owner Password | auth2ResourceOwnerPassword | Die Anwendung erfasst das Passwort des Benutzers direkt und tauscht es gegen ein Token. |
| Device Code | auth2DeviceCode (RFC 8628) | Für eingabebeschränkte Geräte, Smart-TVs, Media-Konsolen, IoT: zeigt einen Benutzercode, den die Person auf einem zweiten Gerät eingibt. |
| Client-Identität | OAuth2Options.ClientId, ClientSecret, Username, Password | Setze sie gemäß der API-Spezifikation deines Anbieters; Username/Password decken Anbieter ab, die Basic Authentication am Token-Endpunkt verlangen. |
| Anbieter-Endpunkte | AuthorizationServerOptions.AuthURL, TokenURL, Scope, RevocationURL, IntrospectionURL | Die URLs und die Scope-Liste, die die OAuth2-/OIDC-Dokumentation deines Anbieters veröffentlicht. |
| Social-Presets | TsgcHTTP_OAuth2_Client_Google, TsgcHTTP_OAuth2_Client_Microsoft | Fertige Abkömmlinge, die die Google- und Microsoft-Endpunkte sowie -Scopes vorkonfigurieren. |
| Lokaler Redirect-Listener | LocalServerOptions.IP, Port, RedirectURL | Der kleine HTTP-Server, den die Komponente startet, um die Authorization-Code-Weiterleitung zu empfangen; Standard ist Port 8080, oder 0, um für Desktop-Anwendungen einen zufälligen Port zu wählen. |
| Den Flow ausführen | Start, Stop | Start öffnet den Systembrowser (oder stellt den Device Code aus) und beginnt den konfigurierten Grant; Stop bricht ihn ab und beendet den lokalen Listener. |
| Refresh | Refresh | Tauscht ein Refresh-Token gegen ein neues Access-Token, ohne einen weiteren Browser-Roundtrip. |
| Widerrufen & Introspektion | Revoke (RFC 7009), Introspect (RFC 7662) | Ein Token ungültig machen, oder seinen Status und seine Metadaten beim Anbieter abfragen. |
| DPoP | DPoPOptions, GenerateDPoPKeyPair, OnDPoPSign | Demonstrating Proof-of-Possession (RFC 9449) Schlüsselmaterial und Signierung, für Anbieter, die Tokens an ein Schlüsselpaar binden. |
| HTTP-Transport | HTTPClientOptions | TLS- und Logging-Konfiguration für den internen HTTP-Client, der an die Token-, Revocation- und Introspection-Endpunkte POSTet. |
| Lifecycle-Ereignisse | OnBeforeAuthorizeCode, OnAfterAuthorizeCode, OnBeforeAccessToken, OnAfterAccessToken, OnBeforeRefreshToken, OnAfterRefreshToken | Vorher-/Nachher-Paare rund um jeden Schritt des Flows. |
| Fehler-Ereignisse | OnErrorAccessToken, OnErrorAuthorizeCode, OnErrorRefreshToken, OnErrorRevokeToken, OnErrorIntrospectToken | Je eines pro Fehlerpunkt im Flow, jedes mit dem Fehler, der Beschreibung und der URI des Anbieters. |
| Device-Code-Ereignisse | OnDeviceCode, OnDeviceCodeExpired | Liefert den anzuzeigenden Benutzercode und die Verifizierungs-URI, und feuert, wenn der Benutzer die Autorisierung nicht rechtzeitig abschließt. |
TsgcHTTP_JWT_Client implementiert RFC 7519 (JSON Web Token), RFC 7515 (JWS) und RFC 7516 (JWE) über eine einzige JWTOptions-Eigenschaft.
| Fähigkeit | API | Hinweise |
|---|---|---|
| Header | JWTOptions.Header.alg, typ, kid | Der JOSE-Header. alg wählt jwtHS256/384/512, jwtRS256/384/512 oder jwtES256/384/512; zusätzliche Felder gehen über Header.AddKeyValue. |
| Payload / Claims | JWTOptions.Payload.iss, sub, aud, exp, nbf, iat, jti | Die registrierten RFC-7519-Claims; benutzerdefinierte Claims werden mit Payload.AddKeyValue ergänzt. |
| Signierschlüssel-Material | JWTOptions.Algorithms.HS.Secret, RS.PrivateKey, ES.PrivateKey | Gemeinsames Secret für HMAC, PEM-kodierter privater Schlüssel für RSA oder ECDSA, ausgewählt über Header.alg. |
| Auto-Refresh | JWTOptions.RefreshTokenAfter | Ist der Wert größer als null, aktualisiert Sign iat automatisch und berechnet exp neu; 0 erzeugt das Token bei jeder Anfrage neu. |
| Eigenständig signieren | Sign | Erstellt, signiert und liefert das kodierte Token (header.payload.signature) als einzelne Zeichenfolge zurück, ohne HTTP- oder WebSocket-Client. |
| An einen Client anhängen | Start, Client.Authentication.Token.JWT | Start signiert das konfigurierte JWT und liefert es der Host-Komponente als Bearer-Token; einmal auf Authentication.Token.JWT gesetzt, geht jede Anfrage signiert hinaus. |
| Funktioniert mit | TsgcWebSocketClient, TsgcHTTP1Client, TsgcHTTP2Client | Jede der drei Komponenten akzeptiert einen TsgcHTTP_JWT_Client als Bearer-Token-Quelle über Authentication.Token. |
| OpenSSL-Konfiguration | JWTOptions.OpenSSL_Options | API-Version und Bibliothekspfad, die von den RS- und ES-Algorithmen verwendet werden (APIVersion, LibPath, LibPathCustom, UnixSymLinks). |
WebAuthn ist Teil der sgcAuth-Geschichte, aber es ist keine dritte registrierte Komponente in diesem Paket. Es wird vom sgcWebSockets-WebAuthn-Server bedient, und es braucht sgcCustomIndy darunter.
| Bereich | Detail |
|---|---|
| Was es ist | W3C Web Authentication Level 2 (WebAuthn): passwortlose Anmeldung mit Passkeys und FIDO2-Sicherheitsschlüsseln, unterstützt von TsgcWSAPIServer_WebAuthn. |
| Wo es lebt | TsgcWSAPIServer_WebAuthn ist eine serverseitige Komponente, Teil von sgcWebSockets Enterprise und All-Access, kein von diesem Paket registrierter Client. |
| Was es braucht | Den gepatchten Indy-Build, den sgcCustomIndy als Add-on für sgcWebSockets Core liefert. |
| Wie es hinzugefügt wird | Die Bestellseite fügt sgcCustomIndy beim Bestellen von sgcAuth automatisch zu deinem Warenkorb hinzu. Besitzt du bereits eine Lizenz? Entferne die Position beim Checkout, in beiden Fällen entstehen keine Zusatzkosten. |
| Client-Seite | Eine browserseitige JavaScript-Anwendung steuert die WebAuthn-Zeremonie; sgcHTML liefert eine fertige WebAuthn-Login-UI-Komponente, die mit dem Server zusammenspielt. |
Standardisierte Spezifikationen, und derselbe Quellcode über jeden unterstützten Compiler hinweg.
| Bereich | Detail |
|---|---|
| OAuth2-Standards | OAuth 2.0 (RFC 6749), PKCE (RFC 7636), Device Authorization Grant (RFC 8628), Token Revocation (RFC 7009), Token Introspection (RFC 7662), DPoP (RFC 9449). |
| JWT-Standards | JSON Web Token (RFC 7519), JSON Web Signature (RFC 7515), JSON Web Encryption (RFC 7516). |
| WebAuthn-Standard | Web Authentication Level 2 (W3C), über den sgcWebSockets-WebAuthn-Server. |
| Plattformen | Beide Clients sind reines HTTPS und lokales Signieren, jede Delphi-Plattform ist also abgedeckt: Windows Win32/Win64, Linux 64-Bit, macOS, iOS und Android. |
| Compiler | Delphi und C++ Builder 7 bis 13. |
| Editionen | Der OAuth2 Client und der JWT Client sind außerdem ab der Standard-Edition in sgcWebSockets enthalten, und All-Access enthält alles. |
| Lizenzierung | Eigenständig. Die sgcWebSockets Core Runtime ist mitgeliefert und der vollständige Quellcode ist enthalten. |