ID d'intention Open Banking du mappage de la demande OpenID Connect

Étant donné que la charge qui représente la transaction et le processus d'inclusion de l'ID de tentative dans la demande d'autorisation n'est pas bien défini, un administrateur peut utiliser IBM® Verify pour exécuter les actions suivantes à l'aide d'une règle personnalisée.

• Extrayez l'ID de l'intention de la demande.
• Obtenez les informations de contexte d'intention, généralement en appelant l'API de la banque.
• Choisissez comment représenter l'autorisation dans id_token comme valeur de demande ou de portée.

La règle personnalisée est basée sur la syntaxe décrite dans Exécuteur de règle multiligne. Les règles plus simples peuvent être une seule ligne et n'ont pas besoin d'être écrites dans le format YAML.

Pour commencer un paiement, une intention doit d'abord être déposée. Les participants suivants participent à ce scénario :

• Un fournisseur de services de paiement (PISP) qui réside sur le Fournisseur tiers et qui lance l'opération de paiement.
• Un serveur d'autorisations ASPSP (Information Service Provider). Dans ce scénario, l'ASPSP est Verify.
• Un serveur de ressources ASPSP qui héberge l'API d'initialisation des paiements.

Le PISP redirige l'utilisateur pour qu'il effectue une autorisation sur le serveur d'autorisation, ainsi que l'ID de l'intention. Le serveur d'autorisation doit effectuer les tâches suivantes :

1. Extraire l'ID d'intention.
2. Récupérer des informations sur cette transaction à partir du serveur de ressources.

Cette règle personnalisée exécute ces deux opérations.

Extraction de l'ID de l'objet de la demande

Cet exemple suit la norme UK Open Banking de l'envoi de l'ID de tentative via claims. La demande d'autorisation entrante contient le openbanking_intent_id dans les réclamations.

{
	"id_token": {
		"openbanking_intent_id": {
			"value": "b508f9df-799b-4120-a13e-5d09f2931fa6",
			"essential": true
		}
	}
}

Les réclamations sont extraites et mises à disposition dans le contexte de la demande. Le code utilisé pour extraire la valeur est

requestContext.getValue('claims_idtoken_openbanking_intent_id')

Extraire les informations de transaction

Les informations de transaction sont stockées dans le serveur de ressources ASPSP (Account Servicing Payment Service Provider), où l'ID de consentement ou d'intention a été généré. Utilisez le client HTTP pour faire une demande au serveur de ressources. La demande suivante en est un exemple.

hc.getAsJSON("https://resource.myaspsp.com/internal/intents/" + context.intentID

Mapper la transaction à une fin de confidentialité et à des réclamations

Pour saisir les consentements d'ouverture de paiement et de compte Open Banking, vous devez créer des objectifs de confidentialité appropriés. Par exemple, un objectif de confidentialité payment_initiation doit être créé pour toutes les demandes de consentement d'initiation de paiement. Cet objectif est ensuite mappé à la propriété type dans l'objet de retour.

En outre, pour UK Open Banking, une réclamation openbanking_intent_id doit être créée. Les autres informations relatives à la transaction peuvent également être ajoutées à l'objet de retour.

{
   "type": "payment_initiation",
   "intentID": "b508f9df-799b-4120-a13e-5d09f2931fa6",
   "currency": "USD",
   "amount": "1200.35",
   "merchant": "Merchant A",
   "claims": {
      "openbanking_intent_id": "b508f9df-799b-4120-a13e-5d09f2931fa6"
   }
}

Exemple de règle de mappage

statements:
- if:
    match: "!has(requestContext.claims_idtoken_openbanking_intent_id)"
    return: null
- context: "intentID := requestContext.getValue('claims_idtoken_openbanking_intent_id')"
- context: 'intentContext := hc.getAsJSON("https://resource.myaspsp.com/internal/intents/" + context.intentID, { "Authorization": "apikey supersecretapikey" })'
- return: >-
    {
        "type": context.intentContext.type,
        "intentID": context.intentID,
        "currency": context.intentContext.instructedAmount.currency,
        "amount": context.intentContext.instructedAmount.amount,
        "merchant": context.intentContext.creditorName,
        "claims": {
            "openbanking_intent_id": context.intentID
        }
    }

Par exemple :

[RPT purpose_payment_initiation]
<input type="hidden" name="@PRIVACY_SCOPE_PNAME_REPEAT@"
    value="@PRIVACY_SCOPE_REPEAT@" privacy-readonly="true" />
<input type="hidden" id="@PRIVACY_SCOPE_PNAME_REPEAT@_state" name="@PRIVACY_SCOPE_PSTATE_REPEAT@"
    value="CONSENT_ALLOW" privacy-required="@PRIVACY_SCOPE_REQUIRED_REPEAT@" />
<div id="@PRIVACY_SCOPE_PNAME_REPEAT@_widget" class="bx--form-item" style="width:350px;"></div>
<div class="bx--grid" style="padding-left:0">
    <div class="bx--row" style="padding-bottom:6px;">
    <div class="bx--col-sm-1">Amount</div>
    <div class="bx--col">@PRIVACY_SCOPE_CUSTOM_currency@ @PRIVACY_SCOPE_CUSTOM_amount@</div>
    </div>
    <div class="bx--row" style="padding-bottom:6px;">
    <div class="bx--col-sm-1">Merchant</div>
    <div class="bx--col">@PRIVACY_SCOPE_CUSTOM_merchant@</div>
    </div>
    <div class="bx--row" style="padding-bottom:6px;">
    <div class="bx--col-sm-1">Reference</div>
    <div class="bx--col">@PRIVACY_SCOPE_ATTRVALUE_REPEAT@</div>
    </div>
</div>
[ERPT purpose_payment_initiation]

Notez les aspects suivants.

• Une nouvelle section reproductible utilisée pour un objectif spécifique de confidentialité des données. Le nom utilisé suit le format purpose_{purposeID}. purposeID est l'ID de finalité de confidentialité des données. Cet ID de finalité peut être généré par le système ou fourni par l'utilisateur.
• Deux zones de formulaire HTML sont essentielles et sont nommées @PRIVACY_SCOPE_PNAME_REPEAT@ et @PRIVACY_SCOPE_PNAME_REPEAT@_state. La première zone contient l'identificateur Verify de l'enregistrement de consentement. Le deuxième champ contient l'état du consentement.
• Les attributs personnalisés renvoyés par la règle avancée peuvent être référencés à l'aide de la macro @PRIVACY_SCOPE_CUSTOM_{attributeName}@. Par exemple, @PRIVACY_SCOPE_CUSTOM_currency@ est remplacé par la valeur de devise renvoyée dans la règle d'intention avancée.