Как использовать Auth0 для аутентификации и авторизации?

А, слушай, смотри, вот эта штука — Auth0, ну такая, блядь, мартышлюшка облачная, которая за тебя всю эту ебучую аутентификацию и авторизацию делает. Вместо того чтобы самому, как лох, писать логины-пароли, хранить хеши, солить, OAuth пилить — они тебе всё это выдают, как горячие пирожки. Хочешь — пускай народ через гугл заходит, хочешь — через какую-нибудь конторскую Active Directory, хочешь — вообще без пароля, по ссылке на почту. Красота, ёпта!

Как оно, блядь, работает, если по-простому:

• Встраиваешь: Берёшь их SDK (ну, типа библиотечку готовую для твоего языка) или тупо дергаешь их API. Как впендюрить — решай сам.
• Стандарты всякие: Там под капотом всё на серьёзных штуках — OAuth 2.0, OpenID Connect и JWT-токены. Короче, не самопал, а как у взрослых, чтобы безопасно.
• Кастомизация (Rules и Hooks): Это, блядь, самое интересное. Можно на JavaScript'е написать скриптик, который в момент входа пользователя выполнится. Типа, "ой, этот чувак из такого-то домена — дай ему вот эту роль" или "добавь в токен его любимый цвет". Мощная хуйня, если уметь пользоваться.

Вот, смотри, как это впилить в Flask (Python), чтоб понятно было:

from flask import Flask, redirect, url_for, session
from authlib.integrations.flask_client import OAuth
import os

app = Flask(__name__)
app.secret_key = os.urandom(24) # Только в продакшене, блядь, не 'secret' ставь, а что-то нормальное!

oauth = OAuth(app)
auth0 = oauth.register(
    'auth0',
    client_id=os.environ.get('AUTH0_CLIENT_ID'),
    client_secret=os.environ.get('AUTH0_CLIENT_SECRET'),
    api_base_url=f"https://{os.environ.get('AUTH0_DOMAIN')}",
    access_token_url=f"https://{os.environ.get('AUTH0_DOMAIN')}/oauth/token",
    authorize_url=f"https://{os.environ.get('AUTH0_DOMAIN')}/authorize",
    client_kwargs={'scope': 'openid profile email'},
)

@app.route('/login')
def login():
    # Просто швыряем пользователя на их красивую страничку логина
    return auth0.authorize_redirect(redirect_uri=url_for('callback', _external=True))

@app.route('/callback')
def callback():
    # Пользователь вернулся — ловим токен, как удава кролика
    token = auth0.authorize_access_token()
    session['user'] = token['userinfo']
    return redirect('/')

@app.route('/logout')
def logout():
    session.clear()
    # И чтобы наверняка — выпинываем и у них тоже
    return redirect(f"https://{os.environ.get('AUTH0_DOMAIN')}/v2/logout?returnTo={url_for('index', _external=True)}&client_id={os.environ.get('AUTH0_CLIENT_ID')}")

@app.route('/')
def index():
    if 'user' in session:
        return f"Ну здарова, {session['user']['name']}! <a href='/logout'>Сваливаем?</a>"
    return "Ты кто такой? Давай, <a href='/login'>авторизуйся</a>."

if __name__ == '__main__':
    # Это для примера, ёпта! В жизни юзай переменные окружения, а то опозоришься.
    os.environ['AUTH0_CLIENT_ID'] = 'YOUR_CLIENT_ID'
    os.environ['AUTH0_CLIENT_SECRET'] = 'YOUR_CLIENT_SECRET'
    os.environ['AUTH0_DOMAIN'] = 'YOUR_DOMAIN.auth0.com'
    app.run(debug=True)

Почему это, блядь, может быть охуенно:

• Скорость: Не надо месяц ебаться с реализацией "напомнить пароль". За пару дней прикрутил и поехал.
• Всё в комплекте: Двухфакторка, единый вход для кучи приложений, социальные сети — всё из коробки, не надо изобретать.
• Админка: У них там дашборд, где видно всех пользователей, кто зашёл, можно роли раздавать. Удобно, блядь.
• Безопасность их головная: Они, сука, за это деньги берут, пусть сами и париются над уязвимостями и стандартами. Твоя жопа немного прикрыта.

Но и подводные ебли, конечно, есть:

• Цена: Когда пользователей станет овердохуища, счёт может прилететь такой, что волосы зашевелятся. Считай заранее.
• Зависимость: Если у них там сервера легли или они решили политику поменять — ты, чувак, просто зритель. Контроль, блядь, неполный.
• Гибкость не безгранична: Хоть и можно многое настроить, но если тебе надо что-то совсем уж ебанутое и нестандартное, может оказаться проще написать своё, но это уже совсем другая история, полная боли и страданий.

Короче, инструмент мощный, для многих проектов — идеально. Но включай голову, считай бюджет и не верь маркетологам слепо.