Verificando a resposta

Para garantir a integridade dos resultados do Smart Auth SDK, as informações de retorno são incluídas em uma carga útil dentro de um JSON Web Token (JWT) assinado usando seu clientSecret. Esse token é chamado de um atestado e deve ser enviado ao seu backend e verificado antes de conceder ao usuário acesso ao seu sistema.

Além do atestado quando isAuthorized é true, que contém o attemptId dentro do token, também há um caso em que isAuthorized é false. Nesse cenário, o attemptId é retornado junto com o campo isAuthorized.

Certifique-se de que tanto o atestado quanto o attemptId (quando aplicável) sejam tratados e verificados corretamente em seu sistema de backend.

Como verificar a resposta sem JWT (atestado)

Nos casos em que o atestado não está presente na resposta, você receberá um objeto com dois campos: isAuthorized e attemptId.

const response = 'response from sdk';
console.log(response);

/* Registro:
{
    attemptId: "6018d4da5ea6db000849a669",
    isAuthorized: false
}
*/

O campo attemptId pode ser usado para capturar dados sobre a tentativa de autenticação. Para mais informações, consulte aqui.

Como obter seu clientSecret

Veja a documentação sobre tokens de acesso do Smart Auth.

Validação de JWT

Para a validação do usuário, usamos o token JWT retornado.

A partir dele, pegamos os dados necessários para a validação (isAuthorized e isNewContext).

Dados inseridos no JWT (atestado)

Campo	Tipo	Descrição
attemptId	string	ID da tentativa de autenticação
peopleId	string	CPF do usuário autenticado
policyId	string	ID da política validada
isAuthorized	booleano	Indica se o usuário foi autorizado de acordo com as regras da política
isNewContext	booleano	Indica se o contexto do usuário já era conhecido

Como extrair dados do JWT

import jwt from 'jsonwebtoken';

const attestation = 'atestado recebido do SDK';
const secret = 'segredo do seu usuário';
const attestationData = jwt.verify(attestation, secret);

console.log(attestationData);
/* Registro:
{
    attemptId: "6018d4da5ea6db000849a669"
    exp: 1612240210
    iat: 1612240090
    isAuthorized: true
    isNewContext: false
    peopleId: "[cpf]"
    policyId: "[id da política]"
}
*/

Verificação de autorização

const { isAuthorized, isNewContext } = attestationData;

if(isAuthorized && !isNewContext) {
    // usuário autorizado sem necessidade de verificação
} else if(isAuthorized && isNewContext) {
    // usuário autorizado após verificação
}