Autenticação Social

Como funciona

O login social não coloca JWTs na URL de redirect. O cliente inicia o OAuth na API, o provedor de identidade (IdP) cuida do consentimento, e a API devolve um código de uso único e curta duração. O cliente troca esse código pelos mesmos tokens do login com senha.

Redirecione o usuário para GET /api/v1/auth/{provider}?redirect=<URL na allowlist>
O usuário autentica no IdP; o callback da API cria ou vincula o usuário
A API redireciona para a sua URL com ?code=<exchangeCode> (Redis, ~60s, uso único)
O app chama POST /api/v1/auth/exchange com { code } e guarda accessToken / refreshToken

ContratoAPI
// 1) Inicie o OAuth (browser ou browser in-app)
GET /api/v1/auth/{provider}?redirect=

// 2) Após o consentimento no IdP, a API redireciona seu app:
//    <redirect>?code=<código_de_exchange_único>

// 3) Troque o código por JWTs
POST /api/v1/auth/exchange
{ "code": "" }

// Resposta (mesmo formato do login com senha)
{ "user": { ... }, "accessToken": "...", "refreshToken": "..." }

Ativar um provedor

Cada provedor vem desligado por padrão. Ative no .env (carregado por google-oauth.config.ts, facebook-oauth.config.ts, twitter-oauth.config.ts, github-oauth.config.ts, figma-oauth.config.ts, linkedin-oauth.config.ts, slack-oauth.config.ts, atlassian-oauth.config.ts, gitlab-oauth.config.ts, bitbucket-oauth.config.ts, discord-oauth.config.ts, twitch-oauth.config.ts, steam-openid.config.ts e reddit-oauth.config.ts em src/config/), crie o app OAuth no IdP e aponte o callback para esta API.

• Defina a feature flag do provedor como true (ex.: GOOGLE_AUTH_ENABLED, FACEBOOK_AUTH_ENABLED, TWITTER_AUTH_ENABLED, GITHUB_AUTH_ENABLED, FIGMA_AUTH_ENABLED, LINKEDIN_AUTH_ENABLED, SLACK_AUTH_ENABLED, ATLASSIAN_AUTH_ENABLED, GITLAB_AUTH_ENABLED, BITBUCKET_AUTH_ENABLED, DISCORD_AUTH_ENABLED, TWITCH_AUTH_ENABLED, STEAM_AUTH_ENABLED ou REDDIT_AUTH_ENABLED)
• Preencha as credenciais e o CALLBACK_URL (caminho da API Nest, não da SPA)
• Liste as URLs pós-login permitidas no REDIRECT_ALLOWLIST do provedor (origem web e/ou deep link mobile)
• Opcionalmente defina *_OAUTH_DEFAULT_ROLES (valores de Role separados por vírgula) para usuários novos
• Os valores ficam disponíveis via ConfigService nos namespaces googleOAuth, facebookOAuth, twitterOAuth, githubOAuth, figmaOAuth, linkedinOAuth, slackOAuth, atlassianOAuth, gitlabOAuth, bitbucketOAuth, discordOAuth, twitchOAuth, steamOpenId e redditOAuth
• Siga a página do provedor abaixo para passos no console e nomes das variáveis

Integrar o cliente

Você só precisa da URL de início e de um callback que leia code e chame o exchange. As páginas de provedor têm exemplos prontos para SPA e React Native / deep links.

• Web: navegue (ou abra popup) no endpoint de início; na rota /auth/callback, faça POST do code em /auth/exchange
• Mobile: abra a URL de início no browser in-app; registre um deep link na allowlist; leia o code na URL de retorno e troque via HTTPS
• Persista os tokens como já faz após POST /auth/login
• Usuários criados só via social não têm senha local até você definir uma

Escolha um provedor

Abra o guia com setup no console do IdP, variáveis de ambiente, detalhes da API e exemplos de frontend.

O que você deve garantir

• Só coloque na allowlist redirects que você controla — open redirects são rejeitados
• Trate códigos de exchange como segredo: uso único, TTL curto; não logue
• POST /auth/exchange é compartilhado entre provedores; responde 503 se todos estiverem desligados
• Contas existentes com o mesmo e-mail verificado são vinculadas (id do provedor; roles inalteradas)

Como funciona

Ativar um provedor

Integrar o cliente

Escolha um provedor

Google

Facebook

X / Twitter

GitHub

Figma

LinkedIn

Slack

Atlassian

GitLab

Bitbucket

Discord

Twitch

Steam

Amazon

Patreon

Dropbox

MetaMask

Reddit

Apple

O que você deve garantir

Veja também