Войти с помощью Apple (приложение iOS + проверка бэкэнд) API возвращает ошибку invalid_client

Это могло произойти по нескольким причинам:

1. client_id для Интернета должен быть Идентификатор службы. Для приложений это должен быть идентификатор набора приложений. (Даже если вы используете собственный диалог Apple, получите code, а затем передайте его на веб-сервер, а затем используйте его для запроса API токена.) sub в вызове JWT должен быть таким же, как client_id. См. ответ на форуме Apple
2. Ваша библиотека JWT не поддерживает шифрование, необходимое для входа в систему Apple. Для этого они используют стандарт JWT, используя алгоритм эллиптической кривой с кривой P-256 и хешем SHA256. Другими словами, они используют алгоритм ES256 JWT. Некоторые библиотеки JWT не поддерживают методы эллиптических кривых, поэтому убедитесь, что ваша поддерживает их, прежде чем начинать пробовать. ES256 и invalid_client
3. Даты в жетоне. Попробуйте установить следующие

 expires: DateTime.UtcNow.AddDays(2), // expiry can be a maximum of 6 months
 issuedAt: DateTime.UtcNow.AddDays(-1),
 notBefore: DateTime.UtcNow.AddDays(-1),

Это не удалось с invalid_client на моем веб-сервере, поскольку Apple считала это сертификатом из будущего, когда у меня было:

 expires: DateTime.UtcNow.AddMinutes(5), // expiry can be a maximum of 6 months
 issuedAt: DateTime.UtcNow,
 notBefore: DateTime.UtcNow,

4. Также важно указать заголовок User-Agent при вызове API токена. Также стоит упомянуть, что curl может вызывать эту ошибку, хотя она будет нормально работать, если вы вызовете ее с веб-сервера.
5. Убедитесь, что вы устанавливаете правильный заголовок Content-Type: application/x-www-form-urlencoded вместо Content-Type: application/json, который некоторые библиотеки, такие как axios, устанавливают по умолчанию.

Я немного ломал голову над тем, как проверить вход с помощью Apple из приложения iOS на стороне сервера, и не мог найти слишком много документации по этому поводу.

Я оставлю свою реализацию в nodeJS здесь, на случай, если она кому-то поможет; На самом деле я следовал подходу, изложенному здесь Кертис Герберт

1. Из приложения iOS вы получаете ASAuthorizationAppleIDCredential, который включает, среди прочего, пользователя (id), электронную почту и identityToken (недолговечный JWT).
2. На стороне сервера вы можете использовать веб-ключи Apple Json, доступные в https://appleid.apple.com/auth/keys, чтобы сгенерировать открытый ключ.

    {
      "keys": [
        {
          "kty": "RSA",
          "kid": "86D88Kf",
          "use": "sig",
          "alg": "RS256",
          "n": "iGaLqP6y-SJCCBq5Hv6pGDbG_SQ11MNjH7rWHcCFYz4hGwHC4lcSurTlV8u3avoVNM8jXevG1Iu1SY11qInqUvjJur--hghr1b56OPJu6H1iKulSxGjEIyDP6c5BdE1uwprYyr4IO9th8fOwCPygjLFrh44XEGbDIFeImwvBAGOhmMB2AD1n1KviyNsH0bEB7phQtiLk-ILjv1bORSRl8AK677-1T8isGfHKXGZ_ZGtStDe7Lu0Ihp8zoUt59kx2o9uWpROkzF56ypresiIl4WprClRCjz8x6cPZXU2qNWhu71TQvUFwvIvbkE1oYaJMb0jcOTmBRZA2QuYw-zHLwQ",
          "e": "AQAB"
        },
        {
          "kty": "RSA",
          "kid": "eXaunmL",
          "use": "sig",
          "alg": "RS256",
          "n": "4dGQ7bQK8LgILOdLsYzfZjkEAoQeVC_aqyc8GC6RX7dq_KvRAQAWPvkam8VQv4GK5T4ogklEKEvj5ISBamdDNq1n52TpxQwI2EqxSk7I9fKPKhRt4F8-2yETlYvye-2s6NeWJim0KBtOVrk0gWvEDgd6WOqJl_yt5WBISvILNyVg1qAAM8JeX6dRPosahRVDjA52G2X-Tip84wqwyRpUlq2ybzcLh3zyhCitBOebiRWDQfG26EH9lTlJhll-p_Dg8vAXxJLIJ4SNLcqgFeZe4OfHLgdzMvxXZJnPp_VgmkcpUdRotazKZumj6dBPcXI_XID4Z4Z3OM1KrZPJNdUhxw",
          "e": "AQAB"
        }
      ]
    }

3. Наконец, используя открытый ключ, вы можете проверить identityToken, чтобы убедиться, что он был сгенерирован Apple. Я использовал для этого библиотеку jose

    const axios = require('axios').default;
    const jose = require('jose')
    const {
      JWKS,  // JSON Web Key Set (JWKS)
      JWT,   // JSON Web Token (JWT)
      errors // errors utilized by jose
    } = jose    
    axios.get('https://appleid.apple.com/auth/keys')
                .then(function (response) {
                    // handle success
                    const key = jose.JWKS.asKeyStore(response.data);
                    const verified = jose.JWT.verify(identityToken, key);
                })
                .catch(function (error) {
                    // handle error
                    console.log(error);
                })
                .then(function () {
                    // always executed
                });

В конце вы получаете объект с такой же структурой, как если бы вы декодировали JWT (identityToken), в котором вы можете это проверить;

• iss - это https://appleid.apple.com
• aud - идентификатор вашего пакета приложений
• адрес электронной почты и подписка соответствуют вашим значениям ASAuthorizationAppleIDCredential

    {
            "iss": "https://appleid.apple.com",
            "aud": "BundleID",
            "sub": "credential.user",
            "email": "credential.email",
        }

Ваш собственный идентификатор приложения - это идентификатор пакета с префиксом идентификатора вашей команды, разделенным точкой.

«Apple App ID - это двухкомпонентная строка, используемая для идентификации одного или нескольких приложений. В частности, Apple app ID - это идентификатор вашей группы и идентификатор пакета, соединенный точкой, для example: 1A234H7ABC.com.yourdomain.YourApp."

Однако у меня такая же проблема, как заставить это работать.

Мы получаем недействительный клиент, когда возникает проблема с вашим ключом или подпрограммой при проверке кода авторизации с помощью ES256. Используйте приведенный ниже код, и ваша проблема будет решена, так как я решил свою проблему.

Код:

private static CngKey GetPrivateKey()
    {
        using (var reader = File.OpenText(ConfigurationManager.AppSettings["key2"].ToString()))  //put your key's path  like C:\ABC.p8
        {
            var ecPrivateKeyParameters = (ECPrivateKeyParameters)new PemReader(reader).ReadObject();
            var x = ecPrivateKeyParameters.Parameters.G.AffineXCoord.GetEncoded();
            var y = ecPrivateKeyParameters.Parameters.G.AffineYCoord.GetEncoded();
            var d = ecPrivateKeyParameters.D.ToByteArrayUnsigned();
            return EccKey.New(x, y, d);
        }
    }
   var utc0 = new DateTime(1970, 1, 1, 0, 0, 0, 0, DateTimeKind.Utc);

    var issueTime = DateTime.Now;

    var iat = (int)issueTime.Subtract(utc0).TotalSeconds;
    var exp = (int)issueTime.AddMinutes(55).Subtract(utc0).TotalSeconds;
    var payload = new Dictionary<string, object>()
    {
        { "sub", "com.xyzttt" },  // you registered app 
        { "aud", "https://appleid.apple.com"},
        { "iss", "ABCDEFGHttt" },  //Team id 
        { "exp", exp },   }, //current time + @@@@ 
        { "iat", iat } } // current time
    };
    var extraHeader = new Dictionary<string, object>()
    {
          { "alg", "ES256" },
          { "kid", "5ABCDEFGH123tt21"}, //key id
    };
    var sb = GetPrivateKey(); 

    var ecdsa = new ECDsaCng(sb);

    byte[] headerBytes = Encoding.UTF8.GetBytes(JsonConvert.SerializeObject(extraHeader, Formatting.None));
    byte[] claimsBytes = Encoding.UTF8.GetBytes(JsonConvert.SerializeObject(payload, Formatting.None));


    var Rpayload = Base64UrlEncode(headerBytes) + "." + Base64UrlEncode(claimsBytes);
    var signature = ecdsa.SignData(Encoding.UTF8.GetBytes(Rpayload), HashAlgorithmName.SHA256);
    var data = Base64UrlEncode(signature);
    string token = Rpayload + "." + data;
   
    return token;

Для людей, которые все еще борются с этим: Мне пришлось подождать 48 часов после создания моего первого ключа, чтобы его подхватили серверы Apple. Последние два дня я пробовал каждое решение, которое мог найти в сети, думая, что где-то ошибся. Нет .. что это исправлено, было пора (или кто-то в Apple что-то изменил на своей стороне). Я вызвал точно такой же запрос curl 10 минут назад и теперь получаю два разных ответа от API Apple. ТОЧНО такой же запрос (включая все параметры).

• 10 минут назад: {error: invalid_client}
• 1 минуту назад: {error: invalid_grant} (да !!!)
• сейчас: успех (после обновления кода до нового кода авторизации, созданного моим приложением iOS)

Просто будьте терпеливы. Подождите 48 часов после создания первого ключа на странице https://developer.apple.com/account/resources/authkeys/list

Если кто-то хочет использовать его в бэкэнде Java, вот действительный код с nimbus-jose-jwt java lib

var publicKeys = JWKSet.load(new URL("https://appleid.apple.com/auth/keys"));

    publicKeys.getKeys().forEach(jwk -> {
        try {
            System.out.println(JWSObject.parse(appleIdentityToken)
                    .verify(new RSASSAVerifier(jwk.toRSAKey())));
        } catch (JOSEException | ParseException joseException) {
            joseException.printStackTrace();
        }
    });