sgcAuth Özellik Matrisi: OAuth2, JWT & WebAuthn

TOTP

İkinci faktör kodları ve kurtarma kodları

Standartlar & Platformlar

Delphi 7'den 13'e, C++ Builder

sgcAuth kendi kendine yeterlidir. sgcWebSockets Core çalışma zamanı pakete dahil olarak gelir, bu yüzden OAuth2 ve JWT istemcileri için bir eklenti değildir.

sgcWebSockets içinde de var. Hem OAuth2 Client hem de JWT Client, sgcWebSockets sürümlerinin içinde Standard sürümünden itibaren gelir. All-Access her şeyi içerir. sgcAuth, yalnızca kimlik doğrulama istemcilerine ihtiyaç duyan ekipler için bağımsız pakettir.

Bileşenler

Yedi Palet Bileşeni

İki token istemcisi ve beş kimlik bileşeni, SGC Auth palet sayfasında kayıtlıdır.

Bileşen	Sınıf	İş	Açıklama
OAuth2 Client	`TsgcHTTP_OAuth2_Client`	Bir token alın	Herhangi bir OAuth2/OIDC sağlayıcısına karşı Authorization Code, PKCE, Client Credentials, Resource Owner Password ve Device Code akışları; yerleşik bir yerel yönlendirme sunucusuyla birlikte.
JWT Client	`TsgcHTTP_JWT_Client`	Bir token imzalayın	JSON Web Token'ları oluşturur, imzalar ve doğrular; tek başına ya da TsgcWebSocketClient, TsgcHTTP1Client ve TsgcHTTP2Client için Bearer token kaynağı olarak.
TOTP Authenticator	`TsgcTOTPAuthenticator`	İkinci faktörü kontrol edin	TOTP ve HOTP gizli anahtarları, otpauth QR sağlama, tekrar oynatma korumalı kod doğrulama ve tek kullanımlık kurtarma kodları.
LDAP Client	`TsgcLDAPClient`	Bir dizin parolasını kontrol edin	LDAPS veya StartTLS üzerinden LDAP v3 ve Active Directory oturum açma, iç içe grup üyeliği ve sayfalı arama.
SAML Service Provider	`TsgcSAMLServiceProvider`	Tek oturum açma	Entra ID, Okta, AD FS, Google Workspace ve Keycloak için sıkı imza ve assertion doğrulamalı SAML 2.0 hizmet sağlayıcı.
OpenID Connect Client	`TsgcHTTP_OIDC_Client`	Bir kullanıcıyı oturum açtırın	Keşif, PKCE ve nonce ile tarayıcıda oturum açma, sağlayıcı anahtarlarına karşı ID token doğrulaması ve userinfo uç noktası.
Mail OAuth2	`TsgcMailOAuth2`	Postayı doğrulayın	Microsoft 365 ve Gmail için erişim ve yenileme token'ları, ayrıca SMTP, IMAP ve POP3 için SASL XOAUTH2 ve OAUTHBEARER dizeleri.

OAuth2

Beş Akış Tipi, Tek Bileşen

TsgcHTTP_OAuth2_Client, OAuth 2.0'ı (RFC 6749) uçtan uca kapsar: akışı başlatır, yönlendirmeyi yakalar, kodu bir token ile değiştirir ve sonrasında token'ı yönetir.

Yetenek	API	Notlar
Authorization Code	`OAuth2Options.GrantType := auth2Code`	Bir istemci gizli anahtarı tutabilen, güvenilir sunucu taraflı web uygulamaları için standart akış.
Authorization Code + PKCE	`auth2CodePKCE` (RFC 7636)	Bir gizli anahtar tutamayan yerel, mobil ve tek sayfa uygulamalar için, bir Proof Key for Code Exchange ile aynı akış.
Client Credentials	`auth2ClientCredentials`	Aradan bir kullanıcı geçmeyen sunucudan sunucuya çağrılar: daemon'lar ve servis hesapları.
Resource Owner Password	`auth2ResourceOwnerPassword`	Uygulama, kullanıcının parolasını doğrudan toplar ve onu bir token ile değiştirir.
Device Code	`auth2DeviceCode` (RFC 8628)	Girdi kısıtlı cihazlar, akıllı TV'ler, medya konsolları, IoT için: kişinin ikinci bir cihazda girdiği bir kullanıcı kodu gösterir.
İstemci kimliği	`OAuth2Options.ClientId`, `ClientSecret`, `Username`, `Password`	Sağlayıcınızın API şartnamesine göre ayarlanır; Username/Password, token uç noktasında Basic Authentication gerektiren sağlayıcıları kapsar.
Sağlayıcı uç noktaları	`AuthorizationServerOptions.AuthURL`, `TokenURL`, `Scope`, `RevocationURL`, `IntrospectionURL`	Sağlayıcınızın OAuth2/OIDC belgelerinde yayımlanan URL'ler ve kapsam listesi.
Sosyal ön ayarlar	`TsgcHTTP_OAuth2_Client_Google`, `TsgcHTTP_OAuth2_Client_Microsoft`	Google ve Microsoft uç noktalarını ve kapsamlarını önceden yapılandıran hazır alt sınıflar.
Yerel yönlendirme dinleyicisi	`LocalServerOptions.IP`, `Port`, `RedirectURL`	Bileşenin authorization-code yönlendirmesini almak için başlattığı küçük HTTP sunucusu; varsayılan olarak 8080 bağlantı noktası, masaüstü uygulamaları için rastgele bir bağlantı noktası seçmek üzere 0.
Akışı çalıştırma	`Start`, `Stop`	`Start`, sistem tarayıcısını açar (ya da Device Code'u verir) ve yapılandırılmış akışı başlatır; `Stop` onu durdurur ve yerel dinleyiciyi kapatır.
Yenileme	`Refresh`	Başka bir tarayıcı gidiş-dönüşü olmadan bir yenileme token'ını yeni bir erişim token'ı ile değiştirir.
İptal & sorgulama	`Revoke` (RFC 7009), `Introspect` (RFC 7662)	Bir token'ı geçersiz kılın veya sağlayıcıdaki durumunu ve meta verilerini sorgulayın.
DPoP	`DPoPOptions`, `GenerateDPoPKeyPair`, `OnDPoPSign`	Token'ları bir anahtar çiftine bağlayan sağlayıcılar için Demonstrating Proof-of-Possession (RFC 9449) anahtar malzemesi ve imzalama.
HTTP taşıması	`HTTPClientOptions`	Token, revocation ve introspection uç noktalarına POST yapan dahili HTTP istemcisi için TLS ve günlükleme yapılandırması.
Yaşam döngüsü olayları	`OnBeforeAuthorizeCode`, `OnAfterAuthorizeCode`, `OnBeforeAccessToken`, `OnAfterAccessToken`, `OnBeforeRefreshToken`, `OnAfterRefreshToken`	Akışın her adımının etrafında önce/sonra çiftleri.
Hata olayları	`OnErrorAccessToken`, `OnErrorAuthorizeCode`, `OnErrorRefreshToken`, `OnErrorRevokeToken`, `OnErrorIntrospectToken`	Akıştaki her hata noktası için bir tane, her biri sağlayıcının hatasını, açıklamasını ve URI'sini taşır.
Device Code olayları	`OnDeviceCode`, `OnDeviceCodeExpired`	Görüntülenecek kullanıcı kodunu ve doğrulama URI'sini teslim eder, kullanıcı yetkilendirmeyi zamanında tamamlamazsa tetiklenir.

JWT

İmzalayın, Ekleyin ya da Doğrulayın

TsgcHTTP_JWT_Client, tek bir JWTOptions özelliği üzerinden RFC 7519 (JSON Web Token), RFC 7515 (JWS) ve RFC 7516'yı (JWE) uygular.

Yetenek	API	Notlar
Header	`JWTOptions.Header.alg`, `typ`, `kid`	JOSE başlığı. `alg`, `jwtHS256`/`384`/`512`, `jwtRS256`/`384`/`512`, `jwtES256`/`384`/`512` ya da kuantum sonrası `jwtMLDSA44`/`jwtMLDSA65`/`jwtMLDSA87`'yi seçer; ek alanlar `Header.AddKeyValue` üzerinden eklenir.
Payload / talepler	`JWTOptions.Payload.iss`, `sub`, `aud`, `exp`, `nbf`, `iat`, `jti`	Kayıtlı RFC 7519 talepleri; özel talepler `Payload.AddKeyValue` ile eklenir.
İmzalama anahtar malzemesi	`JWTOptions.Algorithms.HS.Secret`, `RS.PrivateKey`, `ES.PrivateKey`, `MLDSA.PrivateKey`	HMAC için paylaşılan gizli anahtar, RSA veya ECDSA için PEM kodlu özel anahtar, ML-DSA için PKCS#8 PEM; `Header.alg` ile seçilir.
Kuantum sonrası imzalar	`jwtMLDSA44`, `jwtMLDSA65`, `jwtMLDSA87`	RFC 9964'ün ML-DSA JWS algoritmaları, saf Pascal ile uygulanmıştır, bu yolda OpenSSL kullanılmaz. İstemci bir PKCS#8 PEM olan `JWTOptions.Algorithms.MLDSA.PrivateKey` ile imzalar; sunucu, `JWTOptions.Algorithms.MLDSA.Enabled` ayarlandıktan sonra bir SubjectPublicKeyInfo PEM olan `JWTOptions.Algorithms.MLDSA.PublicKey` ile doğrular.
ML-DSA JSON Web Key'leri	`sgcMLDSA_ExportPublicJWK`, `sgcMLDSA_ExportPrivateJWK`, `sgcMLDSA_ImportJWK`, `sgcMLDSA_ImportJWKAsPEM`	AKP JSON Web Key'leri; bir ML-DSA anahtarını bir JWKS içinde yayımlamak ya da bir sağlayıcıdan okumak için.
Otomatik yenileme	`JWTOptions.RefreshTokenAfter`	Sıfırdan büyük olduğunda, `Sign` `iat`'i yeniler ve `exp`'i otomatik olarak yeniden hesaplar; 0 her istekte token'ı yeniden üretir.
Bağımsız imzalama	`Sign`	Kodlanmış token'ı (`header.payload.signature`) tek bir dize olarak oluşturur, imzalar ve döndürür; HTTP veya WebSocket istemcisi gerekmez.
Bir istemciye ekleme	`Start`, `Client.Authentication.Token.JWT`	`Start`, yapılandırılmış JWT'yi imzalar ve barındıran bileşene Bearer token olarak teslim eder; bir kez `Authentication.Token.JWT` üzerinde ayarlayın, her istek imzalı olarak gider.
Şununla çalışır	`TsgcWebSocketClient`, `TsgcHTTP1Client`, `TsgcHTTP2Client`	Üçünden herhangi biri, `Authentication.Token` üzerinden Bearer token kaynağı olarak bir `TsgcHTTP_JWT_Client` kabul eder.
OpenSSL yapılandırması	`JWTOptions.OpenSSL_Options`	RS ve ES algoritmalarının kullandığı API sürümü ve kitaplık yolu (`APIVersion`, `LibPath`, `LibPathCustom`, `UnixSymLinks`).

WebAuthn

Parolasız Oturum Açma, Bir Parça Daha

WebAuthn, sgcAuth hikayesinin bir parçasıdır, ama bu pakette üçüncü kayıtlı bir bileşen değildir. sgcWebSockets WebAuthn sunucusu tarafından sağlanır ve altında sgcCustomIndy'ye ihtiyaç duyar.

Alan	Ayrıntı
Ne olduğu	W3C Web Authentication Level 2 (WebAuthn): passkey'ler ve FIDO2 güvenlik anahtarlarıyla parolasız oturum açma, `TsgcWSAPIServer_WebAuthn` tarafından desteklenir.
Nerede bulunduğu	`TsgcWSAPIServer_WebAuthn`, sgcWebSockets Enterprise ve All-Access'in bir parçası olan sunucu taraflı bir bileşendir, bu pakette kayıtlı bir istemci değildir.
Neye ihtiyaç duyduğu	sgcCustomIndy'nin sgcWebSockets Core için bir eklenti olarak sunduğu yamalanmış Indy derlemesi.
Nasıl eklendiği	Sipariş sayfası, sgcAuth sipariş ettiğinizde sgcCustomIndy'yi otomatik olarak sepetinize ekler. Zaten bir lisansınız mı var? Ödeme sırasında satırı kaldırın, her iki durumda da ek ücret yoktur.
İstemci tarafı	Tarayıcı taraflı bir JavaScript uygulaması WebAuthn seremonisini yürütür; sgcHTML, sunucuyla eşleşen hazır bir WebAuthn login arayüz bileşeni sunar.
Passkey'ler	Keşfedilebilir kimlik bilgileriyle kullanıcı adı olmadan oturum açma, koşullu mediation ile passkey otomatik doldurma, kullanıcı başına birden çok passkey, `BackupEligible` ve `BackupState` ile senkronize veya cihaza bağlı algılama, ve klonlanmış doğrulayıcı algılama.

TOTP

Her Biri Yalnızca Bir Kez Kabul Edilen İkinci Faktör Kodları

TsgcTOTPAuthenticator, Google Authenticator, Microsoft Authenticator ve diğer tüm kimlik doğrulayıcı uygulamalarının gösterdiği kodlar olan TOTP (RFC 6238) ve HOTP'yi (RFC 4226) uygular.

Yetenek	API	Notlar
Gizli anahtarlar	`GenerateSecret`, `SecretLength`	Kullanıcı kaydıyla saklanacak, varsayılan 20 baytlık rastgele bir Base32 gizli anahtarı.
QR sağlama	`GetProvisioningURI`, `Issuer`	Issuer, algoritma, basamak ve periyot ile `otpauth://totp/` URI'sini oluşturur; QR kodu olarak göstermeye hazırdır.
Bir kodu doğrulayın	`VerifyCode`, `Window`	Geçerli zaman adımını ve öncesinde veya sonrasında `Window` kadar adımı kabul eder (varsayılan 1), böylece saati birkaç saniye kayan bir telefon yine de oturum açabilir.
Tekrar oynatma koruması	`aLastTimeStep` ile `VerifyCode`	Yalnızca son kullanılandan büyük bir zaman adımını kabul eder ve eşleşen adımı döndürür, böylece bir kod asla iki kez kullanılamaz.
HOTP sayaçları	`GenerateHOTP`, `VerifyHOTP`	Donanım tokenleri için sayaç tabanlı varyant; başarı durumunda sayacı yeniden eşitleyen bir ileri bakış penceresiyle.
Kurtarma kodları	`GenerateRecoveryCodes`	Kullanıcı cihazını kaybettiğinde başvurulacak, benzersiz tek kullanımlık kodlarla herhangi bir `TStrings`'i doldurur.
Algoritmalar ve basamaklar	`Algorithm`, `Digits`, `Period`	Her uygulamanın desteklediği varsayılan HMAC-SHA1, HMAC-SHA256 veya HMAC-SHA512; 6 ila 8 basamaklı kodlar ve istediğiniz periyot.

LDAP

TLS Üzerinden Active Directory Oturum Açma

TsgcLDAPClient, kullanıcıları Active Directory veya başka herhangi bir LDAP dizinine karşı doğrulayan ve gruplarını okuyan bir LDAP v3 (RFC 4511) istemcisidir.

Yetenek	API	Notlar
Bağlantı	`Host`, `Connect`, `BindDN`, `Password`, `BaseDN`	Dizin sunucusu, aramalar için kullanılan hizmet hesabı ve kullanıcı ile grup aramalarının tabanı.
LDAPS ve StartTLS	`Security`, `TLSOptions`	636 portunda örtük TLS için `ldapsecLDAPS` veya 389 portunda `ldapsecStartTLS`. Reddedilen bir StartTLS bağlantıyı kapatır, istemci hiçbir zaman düz metne geri dönmez.
Oturum açma modları	`AuthenticationMode`, `UserSearchFilter`	`ldapamUPN`, `ldapamDownLevel`, `ldapamSearchThenBind` veya `ldapamDN`, girilen adı bind adına çevirir.
Doğrulama	`Authenticate`	Kullanıcı adını ve parolayı tek bir çağrıda denetler ve kullanıcının DN'sini döndürür.
İç içe gruplar	`GetUserGroups`	Doğrudan `memberOf` değerleri veya Active Directory'nin `LDAP_MATCHING_RULE_IN_CHAIN` kuralıyla diğer gruplar üzerinden ulaşılan her grup.
Sayfalı arama	`Search`, `PageSize`, `SizeLimit`, `TimeLimit`	Simple Paged Results otomatik olarak kullanılır (varsayılan sayfa başına 500 girdi), girdiler ve yönlendirmeler bir `TsgcLDAPEntries` listesinde geri döner.
Güvenli bind'ler	`Bind`, `WhoAmI`, `LastResultCode`, `LastErrorMessage`	Boş parolalı bir DN, sunucuya bağlanmadan reddedilir; RFC 4513'ün kimliksiz bind açığını kapatır.
İş parçacıkları	Her genel metot	Çağrılar serileştirilir, böylece tek bir örnek çok iş parçacıklı bir HTTP veya WebSocket sunucusunun oturum açma isteklerine hizmet verebilir.

SAML

SAML 2.0 Tek Oturum Açma

TsgcSAMLServiceProvider, bir Delphi web uygulamasını Microsoft Entra ID, Okta, AD FS, Google Workspace, Keycloak ve diğer kimlik sağlayıcılar için bir SAML 2.0 hizmet sağlayıcı yapar.

Yetenek	API	Notlar
Hizmet sağlayıcı kimliği	`EntityID`, `AssertionConsumerServiceURL`	Entity ID ve tarayıcının gönderdiği yanıtları alan ACS URL'si.
Her iki yönde meta veri	`GetMetadata`, `LoadIdPMetadata`	`GetMetadata`, IdP'ye kaydedilecek SP meta verisini üretir. `LoadIdPMetadata`, `IdPEntityID`, `IdPSSOURL`, `IdPSSOBinding` ve `IdPCertificates`'i doldurur.
Redirect ve POST bağlamaları	`GetAuthnRequestRedirectURL`, `GetAuthnRequestPostForm`	Sıkıştırılmış AuthnRequest ile HTTP-Redirect URL'si veya otomatik gönderilen bir HTTP-POST formu.
İmzalı istekler	`SignAuthnRequests`, `SPCertificate`, `SPPrivateKey`	Bunu gerektiren kimlik sağlayıcılar için AuthnRequest'i imzalar.
Yalnızca güvenilir anahtarlar	`IdPCertificates`, `AllowSHA1`	İmzalar yalnızca yapılandırılmış IdP sertifikalarına karşı denetlenir, mesaja gömülü bir sertifikaya asla güvenilmez. Özel kanonikleştirme ile RSA-SHA256, RSA-SHA384 ve RSA-SHA512; SHA-1 yalnızca izin verildiğinde.
İmza sarmalama koruması	`ProcessResponse`	Yanıt, doğrudan alt öğe olarak tam olarak bir assertion içermelidir ve imza tam olarak o öğeye başvurmalıdır.
Assertion denetimleri	`ClockSkew`, `MaxAssertionAge`, `AllowIdPInitiated`	Issuer, audience, destination, `InResponseTo` ve geçerlilik penceresi, assertion kimliklerinin bir tekrar oynatma önbelleğiyle birlikte doğrulanır. IdP tarafından başlatılan oturum açma, etkinleştirilene kadar kapalı kalır.
Sonuç	`TsgcSAMLResult`	`NameID`, `NameIDFormat`, `SessionIndex`, `AuthnInstant`, dostça adlarıyla `Attributes` ve okunabilir bir `ErrorMessage`.

OpenID Connect

Herhangi Bir OpenID Sağlayıcısıyla Oturum Açın

TsgcHTTP_OIDC_Client, OAuth2 istemcisinin üzerine OpenID Connect Core 1.0'ı uygular; böylece loopback yönlendirme, refresh token'lar, DPoP, cihaz kodu, iptal ve iç gözlem de beraberinde gelir.

Yetenek	API	Notlar
Keşif	`OIDCOptions.Issuer`, `Discover`, `DiscoveryDocument`	Sağlayıcı yapılandırmasını okur ve yetkilendirme ile token URL'lerini, `JWKSURI`, `UserInfoEndpoint` ve `EndSessionEndpoint`'i doldurur.
Oturum açma	`Start`	Tarayıcıyı açar ve OAuth2 istemcisinin yerel yönlendirme sunucusu üzerinden Authorization Code akışını yürütür.
PKCE ve nonce	`OIDCOptions.UsePKCE`, `Nonce`	PKCE varsayılan olarak açıktır ve her oturum açma, ID token'ın yansıtması gereken taze bir nonce gönderir.
ID token doğrulaması	`IDToken`, `IDTokenClaims`, `IDTokenValid`, `OnOIDCIDToken`	İmza, issuer, audience, `ClockSkew` ile süre ve nonce denetlenir. Yalnızca RS256, RS384, RS512, ES256 ve ES384 kabul edilir; `none` ve HS algoritmaları her zaman reddedilir.
Anahtar rotasyonu	`TsgcOIDCJWKS`, `RefetchInterval`	Sağlayıcının imzalama anahtarlarının iş parçacığı güvenli bir önbelleği. Bilinmeyen bir anahtar kimliği yeni bir indirmeyi tetikler, böylece anahtar rotasyonu yeniden başlatma gerektirmez.
Sunucu tarafı doğrulama	`sgcOIDC_ValidateIDToken`, `OIDCOptions.AllowedTenants`	REST API'nizin veya WebSocket sunucunuzun aldığı bearer token'larını aynı anahtar önbelleğine karşı doğrular ve çok kiracılı Entra ID uygulamalarını kabul ettiğiniz kuruluşlarla sınırlar.
Userinfo	`GetUserInfo`	Oturum açan kullanıcının profil JSON'unu döndürür.

Mail OAuth2

SMTP, IMAP ve POP3 için OAuth2

TsgcMailOAuth2, Microsoft 365 ve Gmail'in posta için beklediği token'ları alır ve yeniler; bunları posta istemcinizin gönderdiği SASL XOAUTH2 ve OAUTHBEARER (RFC 7628) dizelerine dönüştürür.

Yetenek	API	Notlar
Sağlayıcı ön ayarları	`Provider`, `TenantId`, `ClientId`	Doğru uç noktalarla `mopMicrosoft365` veya `mopGmail`. `mopCustom`, `CustomAuthURL`, `CustomTokenURL`, `CustomDeviceAuthorizationURL` ve `CustomScope`'u alır.
Protokollerden gelen kapsamlar	`Protocols`, `GetScope`	`mpSMTP`, `mpIMAP` ve `mpPOP3`'ün herhangi bir karışımı eşleşen kapsamları ister, Microsoft 365'te `offline_access` ile birlikte.
Tarayıcı veya cihaz kodu	`Flow`, `LocalServerOptions`, `OnDeviceCode`	`mofAuthorizationCodePKCE` tarayıcıyı loopback yönlendirmeyle açar, `mofDeviceCode` servisler ve konsollar için uygundur.
Token yaşam döngüsü	`Start`, `Refresh`, `AccessToken`, `RefreshToken`, `ExpiresAt`, `OnTokensChanged`	`Refresh`, erişim token'ını eşzamanlı olarak yeniler ve `OnTokensChanged` her seferinde tetiklenir; böylece yeni refresh token'ı kalıcı hale getirebilirsiniz.
SASL dizeleri	`GetXOAuth2`, `GetOAuthBearer`	`AUTH XOAUTH2` ve `AUTH OAUTHBEARER` için Base64 ilk yanıtları. `Raw` varyantları ve `sgcGetXOAuth2` fonksiyonları hata ayıklamaya ve diğer token kaynaklarına yardımcı olur.
Taşımadan bağımsız	`HTTPClientOptions`	Bileşen hiçbir zaman bir posta bağlantısı açmaz. Indy `TIdSMTP`, `TIdIMAP4` veya `TIdPOP3`'ü ya da ham bir SASL komutu gönderebilen herhangi bir posta kütüphanesini kullanın.