Laboratorio di prova
Un client per ogni caso del servizio d'accesso di questo stage. Tutto è registrato
dall'infrastruttura. Entra con un indirizzo @example.com: la mail non parte e
il codice è nel log del servizio d'accesso (params.code).
travelogue
Un client nostro, nel browser: non deve mai mostrare il consenso. Con l'API di prova il
token ha solo test:read: /read risponde, /write no.
Partner web
Un partner nel browser: la prima volta chiede il consenso, poi lo ricorda; chiedendo poi
l'API di prova, chiede solo test:read. «Resta collegato» chiede il consenso
ogni volta. «Scollega» revoca il suo refresh token, come quando l'utente lascia il
partner.
Partner con server
Il codice torna al server del partner (l'API di prova), che lo scambia col suo secret: il
browser non lo vede mai. Con l'API, è il suo server a chiamare /read col
token.
App nativa
L'app nativa di un partner: chiede il consenso a ogni accesso, anche se l'hai già dato, perché un'altra app sul telefono potrebbe fingersi lei.
Azienda
Un'azienda che chiama l'API di prova dal suo server, senza utente: chiede un token col suo
secret e chiama /read.
Avvisi ai partner
Quello che i due partner hanno ricevuto dal servizio, con la firma verificata: il logout quando esci dal servizio d'accesso, la sospensione e la cancellazione dell'identità (dal pannello o dalla tua pagina). Restano un giorno.