Listar proveedores de autenticación
Comprueba qué proveedores de autenticación publica el entorno antes del inicio de sesión, sin crear sesión, registrar usuarios ni exponer configuración sensible.
En este artículo
Esta guía sirve para verificar la respuesta pública de `GET /api/app/auth/providers` en el runtime ES de documentación.
La acción solo devuelve el contrato visible para el cliente: puede ser `[]` o un array con proveedores públicos. No confirma que un proveedor pueda completar OAuth.
Antes de empezar
- Las rutas de autenticación de aplicación deben estar registradas; si `authFlow` no está disponible, `/api/app/auth/providers` no existe.
- El repositorio de aplicación debe estar accesible, con cero o más registros en `auth_providers`.
- La captura o el cliente debe apuntar `APP_WEB_URL` o `APP_API_BASE_URL` al backend correcto; en el runtime ES se usa `APP_WEB_URL=http://localhost:8082`.
- No hace falta iniciar sesión ni seleccionar organización, ubicación, rol o membresía.
Instrucciones
- 1.
Abrir el listado público
Solicita `GET /api/app/auth/providers` o abre `${APP_WEB_URL}/api/app/auth/providers`. En el runtime ES, la URL esperada es `http://localhost:8082/api/app/auth/providers`. La llamada normal no envía cuerpo, parámetros de consulta ni cabeceras de organización o ubicación.
- 2.
Revisar la respuesta JSON
Confirma que el endpoint devuelve `HTTP 200` con un array JSON. Cada proveedor público solo debe mostrar `code`, `name`, `authorization_endpoint`, `enabled` y `scopes`. Si la respuesta es `[]`, el entorno no publica proveedores configurados en ese momento.
- 3.
Interpretar proveedores deshabilitados
Si aparece un proveedor con `enabled: false`, trátalo como un proveedor conocido por el entorno pero no disponible para iniciar autorización. Este listado no arranca ni bloquea el login; esa decisión ocurre al iniciar OAuth.
- 4.
Gestionar respuestas no esperadas
Un método distinto de `GET` no forma parte de la operación normal y debe devolver `HTTP 405` con `metodo no permitido`. Un `HTTP 500` indica una incidencia técnica al leer el repositorio o la configuración.
Validaciones y límites
- No documentar esta acción como pantalla de selección visual: existe `authApi.listProviders()`, pero no se encontró una pantalla que lo use para mostrar proveedores.
- No describirla como inicio de sesión, callback OAuth, creación de sesión ni registro de usuario.
- No exponer `client_secret`, `client_id`, `token_endpoint`, `jwks_uri`, `userinfo_endpoint`, `issuer`, `config`, `created_at` ni `updated_at`.
- No afirmar proveedores concretos como Google, Microsoft o Apple para el runtime ES; la captura debe reflejar la respuesta real del endpoint.
- Cuando el entorno usa PostgreSQL, el orden esperado del listado es por `code`.
Resultado esperado
El equipo confirma qué contrato público de proveedores devuelve el backend antes del login y verifica que la respuesta no contiene credenciales ni campos internos.