Авторизация пользователей через OAUTH2 в ЕСИА

Буду писать основные моменты, когда получится все опишу подробно.
Описание всего этого дела лежит тут. Правда в нем уже куча ошибок. Обещают поправить в будущем.

Генерация ключа

создаем файл config.cfg

# Параметры для генерации открытого ключа.
[ req ]
# Секция основных опций
default_bits=2048
# Число бит
#default_keyfile=miac.pem
# Имя ключа, используемого для сертификата
distinguished_name=req_distinguished_name
# DN организации, выдавшей сертификат
prompt=no
# Брать параметры из конфига неинтерактивный режим
[ req_distinguished_name ]
# DN организации
CN=RU
# Страна
ST=Vologodskaya
# Область
L=Vologda
# Город
O=MIAC
# Название организации
OU=MIAC
# Название отделения
CN=volmed.org.ru
# Имя для сертификата (персоны, получающей сертификат)
emailAddress=miac35@mail.ru
# Мыло организации

Создаем файл генерации esia.sh. Сделал ключи без пароля.

openssl req  -x509 -sha256 -newkey rsa:2048 -nodes -days 3650 \
    -keyout miac_priv.pem \
    -out miac_root.pem \
    -config config.cfg

Запускаем его и получаем 2 файла сертификата.

$ sh esia.sh

Регистрация ИС

1. Получаем ЭЦП на руководителя для входа на сайт ГУ
2. Настраиваем комп для входа с этой ЭЦП. Учтите на данный момент при входе через FF, версия его дб , иначе не установится плагин для работы с ГУ.
3. Входим на сайт ГУ.
4. Регистрируем организацию.
5. Регистрируем ИС. При этом загружаем сгенерированный файл сертификата miac_root.pem.

Создание заявки для подключения к тестовой версии ЕСИА

Делаем заявку для подключения к ЕСИА. Описание есть тут.

Как все работает

1. Сначала делаем запрос на https://esia-portal1.test.gosuslugi.ru/aas/oauth2/ac на авторизацию . Более подробно можно посмотреть в документации. Единственно, scope дб openid. Это ссылка с GET параметрами (В.2.2).
   Структура запроса
   1. client_id=LPUV01355 - Выданный при регистрации ИС на сайте ГУ. Можно посмотреть тут
   2. client_secret=MIIG1wYJKoZI.........
   3. redirect_uri=https%3A%2F%2Fzapis.volmed.org.ru%2Fesia.php
   4. scope=openid
   5. response_type=code
   6. state=5f0fd916-2499-4719-8236-d895ac458979
   7. access_type=offline
   8. timestamp=2017.07.01+10%3A59%3A50+%2B0300
2. В ответ получаем code авторизации.
3. Используем данный code для запроса токена. Запрос на адрес https://esia-portal1.test.gosuslugi.ru/aas/oauth2/te (п. В.2.3 Получение маркера доступа в обмен на авторизационный код). Структура запроса
   1. [client_id] => LPUV01355
   2. [code] => Полученный при авторизации код
   3. [grant_type] => authorization_code
   4. [client_secret] => MIIG1wYJKoZIhvcNAQcCoIIGy.... формируется как и при авторизации
   5. [state] => 5d77d9ac-5d55-494d-8a0c-1e5f021aa813 снова формируется новый
   6. [redirect_uri] => https://zapis.volmed.org.ru/esia/response.php (Может и не нужен)
   7. [scope] => openid - В доке написано, что scope дб такой же, как при авторизации (тут стр 135)
   8. [timestamp] => 2017.07.01 11:15:40 +0300
   9. [token_type] => Bearer
   10. [refresh_token] => 5d77d9ac-5d55-494d-8a0c-1e5f021aa813
4. В ответ получаем следующий массив в json формате
   1. [state] => 85caac25-8af0-43eb-9fce-590d4588b58f - набор случайных символов, имеющий вид 128-битного идентификатора запроса, генерируется по стандарту UUID (совпадает с идентификатором запроса);
   2. [token_type] => Bearer – тип предоставленного маркера, в настоящее время ЕСИА поддерживает только значение “Bearer”;
   3. [expires_in] => 3600 – время, в течение которого истекает срок действия маркера (в секундах);
   4. [refresh_token] => b147fb72-387c-4cee-ac91-6f23ca9014c9 – маркер обновления для данного ресурса.
   5. [id_token] => eyJhbGciOiJSUzI1NiI...................
   6. [access_token] => eyJhbGciOiJSUzI1NiIsInNidCI6ImFjY2VzcyIsInR5cCI6IkpXVCIsIn.............
5. access_tiket согласно В.5 Сведения о структуре и проверке маркера доступа, состоит из 3 разделов разбитых точкой (HEADER.PAYLOAD.SIGNATURE)
   1. Разбиваем эту строку на 3 переменных по точке.
   2. URL декодируем вторую часть. Получаем json закодированную строку.
   3. Декодируем Json закодированную строку и получаем.

[exp] => 1498910323    - время прекращения действия (“exp”) – в секундах с 1 января 1970 г. 00:00:00 GMT;
[scope] => openid  область доступа (“scope”), в качестве значения – название области, к которой 
предоставляется доступ (например, id_doc)
[iss] => http://esia.gosuslugi.ru/ - организация, выпустившая маркер (“iss”), для маркеров ЕСИА всегда 
имеет определенное значение, которое совпадает с полем «субъект» используемого сертификата 
ЕСИА (http://субъект);
[nbf] => 1498906723  - время начала действия (“nbf”) – в секундах с 1 января 1970 г. 00:00:00 GMT, 
т.е. маркер нельзя обрабатывать до наступления указанного времени;
[urn:esia:sid] => e16a6dac86d15984ce2b28cd3922104adf19eba87f8f2b19b86d03940d8d6b94 - идентификатор 
маркера (“urn:esia:sid”) – набор случайных символов, имеющий вид 128-битного идентификатора, 
сгенерированного по стандарту UUID.
[urn:esia:sbj_id] => 1000330799  - идентификатор субъекта (“urn:esia:sbj_id”), в качестве значения 
указывается oid, этот идентификатор уникален для каждого субъекта, зарегистрированного в ЕСИА;
[client_id] => LPUV01351
[iat] => 1498906723   - время выдачи (“iat”) – в секундах с 1 января 1970 г. 00:00:00 GMT;

1. Вот далее пока не понятно. По идее мы должны послать запрос на получение маркера доступа (п.В.3.2 документации). Запрос на адрес https://esia-portal1.test.gosuslugi.ru/aas/oauth2/te Вот его структура
   1. [client_id] => LPUV01355 мнемоника ИС
   2. [response_type] => token
   3. [grant_type] => client_credentials
   4. [scope] => fullname gender то что мы хотим получить с сайта ГУ
   5. [state] => a4947434-f9ac-4267-b83b-7e4036998898 генерится новый
   6. [timestamp] => 2017.07.01 11:47:14 +0300
   7. [token_type] => Bearer
   8. [client_secret] => MIIG1wYJK............... генерится как обычно

На этом пока все. Буду дописывать, по мере продвижения.

Использую Class