ID de intenção do Open Banking de mapeamento de solicitação do OpenID Connect

Como a carga útil que representa a transação e o processo de inclusão do ID de intenção na solicitação de autorização não está bem definido, um administrador pode usar IBM® Verify para fazer script das ações a seguir usando uma regra customizada.

• Extraia o ID de intenção da solicitação.
• Obtenha as informações de contexto de intenção, geralmente chamando a API do banco.
• Escolha como representar a autorização no id_token como um valor de solicitação ou escopo.

A regra customizada é baseada na sintaxe que é descrita em Executor de regras multilinhas. Regras mais simples podem ser de linha única e não precisam ser gravadas no formato YAML.

Para iniciar um pagamento, uma intenção deve ser apresentada primeiro. Os participantes a seguir estão envolvidos neste cenário:

• Um provedor de serviços de iniciação de pagamento (PISP) que reside no provedor de terceiros e inicia a transação de pagamento.
• Um servidor de autorização do provedor de serviços de informações de conta (ASPSP). Nesse cenário, o ASPSP é Verify.
• Um servidor de recursos ASPSP que hospeda a API de iniciação de pagamento.

O PISP redireciona o usuário para realizar a autorização com relação ao servidor de autorização, juntamente com o ID de intenção. O servidor de autorização precisa executar as tarefas a seguir:

1. Extraia o ID de intenção.
2. Recupere as informações sobre esta transação por meio do servidor de recursos.

Esta regra customizada executa ambas as operações.

Extraindo o ID de intenção da solicitação

Este exemplo segue o padrão do UK Open Banking de enviar o ID de intenção por meio do claims. A solicitação de autorização recebida contém o openbanking_intent_id nas solicitações.

{
	"id_token": {
		"openbanking_intent_id": {
			"value": "b508f9df-799b-4120-a13e-5d09f2931fa6",
			"essential": true
		}
	}
}

As solicitações são extraídas e disponibilizadas no contexto de solicitação. O código que é usado para recuperar o valor é

requestContext.getValue('claims_idtoken_openbanking_intent_id')

Recuperar informações da transação

As informações da transação são armazenadas no servidor de recursos do provedor de serviços de pagamento de manutenção de conta (ASPSP), que é onde o ID de consentimento ou intenção foi gerado. Use o cliente HTTP para fazer uma solicitação ao servidor de recursos. A solicitação a seguir é um exemplo.

hc.getAsJSON("https://resource.myaspsp.com/internal/intents/" + context.intentID

Mapear transação para um propósito de privacidade e solicitações

Para capturar a iniciação de pagamento do Open Banking e os consentimentos de acesso à conta, devem ser criados propósitos de privacidade relevantes. Por exemplo, um propósito de privacidade payment_initiation deve ser criado para quaisquer solicitações de consentimento de iniciação de pagamento. Esse propósito é então mapeado para a propriedade type no objeto de retorno.

Além disso, para o UK Open Banking, uma solicitação openbanking_intent_id precisa ser criada. As demais informações sobre a transação também podem ser incluídas no objeto de retorno.

{
   "type": "payment_initiation",
   "intentID": "b508f9df-799b-4120-a13e-5d09f2931fa6",
   "currency": "USD",
   "amount": "1200.35",
   "merchant": "Merchant A",
   "claims": {
      "openbanking_intent_id": "b508f9df-799b-4120-a13e-5d09f2931fa6"
   }
}

Regra de mapeamento de amostra

statements:
- if:
    match: "!has(requestContext.claims_idtoken_openbanking_intent_id)"
    return: null
- context: "intentID := requestContext.getValue('claims_idtoken_openbanking_intent_id')"
- context: 'intentContext := hc.getAsJSON("https://resource.myaspsp.com/internal/intents/" + context.intentID, { "Authorization": "apikey supersecretapikey" })'
- return: >-
    {
        "type": context.intentContext.type,
        "intentID": context.intentID,
        "currency": context.intentContext.instructedAmount.currency,
        "amount": context.intentContext.instructedAmount.amount,
        "merchant": context.intentContext.creditorName,
        "claims": {
            "openbanking_intent_id": context.intentID
        }
    }

Por exemplo,

[RPT purpose_payment_initiation]
<input type="hidden" name="@PRIVACY_SCOPE_PNAME_REPEAT@"
    value="@PRIVACY_SCOPE_REPEAT@" privacy-readonly="true" />
<input type="hidden" id="@PRIVACY_SCOPE_PNAME_REPEAT@_state" name="@PRIVACY_SCOPE_PSTATE_REPEAT@"
    value="CONSENT_ALLOW" privacy-required="@PRIVACY_SCOPE_REQUIRED_REPEAT@" />
<div id="@PRIVACY_SCOPE_PNAME_REPEAT@_widget" class="bx--form-item" style="width:350px;"></div>
<div class="bx--grid" style="padding-left:0">
    <div class="bx--row" style="padding-bottom:6px;">
    <div class="bx--col-sm-1">Amount</div>
    <div class="bx--col">@PRIVACY_SCOPE_CUSTOM_currency@ @PRIVACY_SCOPE_CUSTOM_amount@</div>
    </div>
    <div class="bx--row" style="padding-bottom:6px;">
    <div class="bx--col-sm-1">Merchant</div>
    <div class="bx--col">@PRIVACY_SCOPE_CUSTOM_merchant@</div>
    </div>
    <div class="bx--row" style="padding-bottom:6px;">
    <div class="bx--col-sm-1">Reference</div>
    <div class="bx--col">@PRIVACY_SCOPE_ATTRVALUE_REPEAT@</div>
    </div>
</div>
[ERPT purpose_payment_initiation]

Observe os aspectos a seguir.

• Uma nova seção repetível que é usada para um propósito específico de privacidade de dados. O nome que é usado segue o formato purpose_{purposeID}. O purposeID é o ID de propósito de privacidade de dados. Esse ID de propósito pode ser gerado pelo sistema ou fornecido pelo usuário.
• Dois campos de Formulário HTML são essenciais e são denominados @PRIVACY_SCOPE_PNAME_REPEAT@ e @PRIVACY_SCOPE_PNAME_REPEAT@_state. O primeiro campo contém o identificador Verify para o registro de consentimento. O segundo campo contém o estado de consentimento.
• Atributos customizados que são retornados pela regra avançada podem ser referenciados usando a macro @PRIVACY_SCOPE_CUSTOM_{attributeName}@. Por exemplo, @PRIVACY_SCOPE_CUSTOM_currency@ é substituído pelo valor da moeda que é retornado na regra avançada de intenção.