Sign in with Minecraft

https://<โดเมนของเว็บนี้>/authorize
  ?client_id=ckx1abcd0000
  &scope=identify
  &state=3f9c1e7a52b84d0e8a6c
  &redirect_uri=https%3A%2F%2Fexample.com%2Fauth%2Fminecraft%2Fcallback

https://example.com/auth/minecraft/callback?code=8Qm3vT0x2aYb7Jk9LwZp4RtN1sUe6HcD&state=3f9c1e7a52b84d0e8a6c

interface TokenRequest {
  code: string; // 1..200 ตัวอักษร
}

interface TokenResponse {
  statusCode: 200;
  data: {
    state: string;          // state ที่คุณส่งไปตอนเริ่ม ต้องเทียบกับที่เก็บไว้
    scopes: "identify"[];   // scope ที่ผู้เล่นอนุญาต
    player: {
      uuid: string;         // 32 หลักตัวพิมพ์เล็ก ไม่มีขีด
      name: string;         // ชื่อผู้เล่น Minecraft ณ ตอนยืนยัน
    };
  };
}

POST /api/v1/auth/token HTTP/1.1
Authorization: Basic Y2t4MWFiY2QwMDAwOmRtc2FwcF8uLi4=
Content-Type: application/json

{ "code": "8Qm3vT0x2aYb7Jk9LwZp4RtN1sUe6HcD" }

{
  "statusCode": 200,
  "data": {
    "state": "3f9c1e7a52b84d0e8a6c",
    "scopes": ["identify"],
    "player": {
      "uuid": "069a79f444e94726a5befca90e38aaf5",
      "name": "Notch"
    }
  }
}

// ตัวอย่าง Express: callback ของ Redirect
app.get("/auth/minecraft/callback", async (req, res) => {
  const { code, state, error } = req.query;
  if (error) return res.redirect("/login?error=" + encodeURIComponent(String(error)));
  if (!code || state !== req.session.authState) return res.status(400).send("state ไม่ตรง");
  delete req.session.authState; // ใช้ครั้งเดียว

  const r = await fetch(API + "/api/v1/auth/token", {
    method: "POST",
    headers: {
      Authorization: "Basic " + Buffer.from(CLIENT_ID + ":" + CLIENT_SECRET).toString("base64"),
      "Content-Type": "application/json",
    },
    body: JSON.stringify({ code }),
  });
  if (!r.ok) return res.status(400).send("ยืนยันตัวตนไม่สำเร็จ");
  const { data } = await r.json();
  req.session.player = data.player; // { uuid, name }
  res.redirect("/");
});

interface AuthCompletedWebhook {
  event: "auth.completed";   // ตอนนี้มีเหตุการณ์เดียว
  state: string;             // state ที่แอปส่งตอนเริ่ม
  scopes: "identify"[];      // scope ที่ผู้เล่นอนุญาต
  player: {
    uuid: string;            // 32 หลักตัวพิมพ์เล็ก ไม่มีขีด
    name: string;            // ชื่อผู้เล่น Minecraft ณ ตอนยืนยัน
  };
}

{
  "event": "auth.completed",
  "state": "3f9c1e7a52b84d0e8a6c",
  "scopes": ["identify"],
  "player": { "uuid": "069a79f444e94726a5befca90e38aaf5", "name": "Notch" }
}

// Node.js (Express): ต้องใช้ body ดิบ
import crypto from "node:crypto";

const KEY = crypto.createHash("sha256").update(process.env.CLIENT_SECRET).digest("hex");

app.post("/hooks/minecraft", express.raw({ type: "application/json" }), (req, res) => {
  const timestamp = req.get("X-DMS-Timestamp") ?? "";
  const signature = req.get("X-DMS-Signature") ?? "";
  const raw = req.body.toString("utf8");

  const expected =
    "sha256=" + crypto.createHmac("sha256", KEY).update(timestamp + "." + raw).digest("hex");
  const ok =
    signature.length === expected.length &&
    crypto.timingSafeEqual(Buffer.from(signature), Buffer.from(expected));
  const fresh = Math.abs(Date.now() / 1000 - Number(timestamp)) < 300;
  if (!ok || !fresh) return res.sendStatus(401);

  const event = JSON.parse(raw); // { event, state, scopes, player }
  // จับคู่ event.state กับผู้ใช้ของคุณ แล้วผูก event.player.uuid
  res.sendStatus(204);
});

# Python (Flask)
import hashlib, hmac, time
from flask import request, abort

KEY = hashlib.sha256(CLIENT_SECRET.encode()).hexdigest()

@app.post("/hooks/minecraft")
def hook():
    ts = request.headers.get("X-DMS-Timestamp", "")
    sig = request.headers.get("X-DMS-Signature", "")
    raw = request.get_data(as_text=True)
    expected = "sha256=" + hmac.new(KEY.encode(), f"{ts}.{raw}".encode(), hashlib.sha256).hexdigest()
    if not hmac.compare_digest(sig, expected) or abs(time.time() - int(ts)) > 300:
        abort(401)
    event = request.get_json()
    return "", 204