تسجيل الدخول عبر Millida على موقعك

يمكن أن يعمل Millida مزوّد هوية: يضغط الزائر على “تسجيل الدخول باستخدام Millida” في موقعك، ويؤكد نقل البيانات، ثم يعود موثّقًا بالفعل. يعمل ذلك عبر OpenID Connect — تمامًا مثل تسجيل الدخول باستخدام Google أو Apple أو Discord — لذا ستعمل أي مكتبة OIDC جاهزة.

لا تُكشف سوى الهوية: اسم Minecraft المستعار، والاسم، والصورة الرمزية، وإذا طلبت ذلك ووافق الشخص، البريد الإلكتروني والسكن وDiscord وTelegram المرتبطان والسمعة على المنصة. أما الأرصدة والمعاملات والخوادم فغير متاحة للتطبيقات.

ما عليك فعله

1. إنشاء تطبيق

الملف الشخصي → API وwebhooks → تبويب تسجيل الدخول باستخدام Millida → “إنشاء تطبيق”.

ستحتاج إلى:

• الاسم — سيراه الشخص على شاشة تسجيل الدخول. يُحظر استخدام كلمة “Millida” في اسم تطبيق يخص شخصًا آخر.
• Redirect URI — عنوان إعادة المستخدم بعد التأكيد. يُقبل https فقط (ولأغراض التطوير يُسمح بـ http://localhost). تتم المطابقة بالكامل: شرطة مائلة إضافية أو معامل مضاف لن يتطابقا بعد الآن.
• رابط سياسة الخصوصية — سيراه الشخص قبل نقل بياناته إليك.

بعد الإنشاء، ستحصل على client_id، ولتطبيق خادم على client_secret. يُعرض السر مرة واحدة فقط — احفظه فورًا.

نوع التطبيق: server، إذا كان لديك خادم خلفي يمكنه تخزين السر؛ وpublic، إذا كان تطبيقًا أحادي الصفحة أو تطبيق جوال ولا يوجد مكان لإخفاء السر فيه.

2. حدّد عنوان المزوّد للمكتبة

https://id.millida.net

هذا يكفي: ستقرأ المكتبة https://id.millida.net/.well-known/openid-configuration بنفسها وتجد بقية العناوين.

3. أرسل الشخص لتسجيل الدخول

https://id.millida.net/oauth/authorize
  ?response_type=code
  &client_id=your_client_id
  &redirect_uri=https://your-site.ru/auth/millida/callback
  &scope=openid profile email
  &state=random_string
  &nonce=random_string
  &code_challenge=base64url(sha256(code_verifier))
  &code_challenge_method=S256

PKCE إلزامي للجميع، بما في ذلك تطبيقات الخادم. احفظ state في الجلسة وتحقق منه عند العودة — فبدون ذلك يمكن حقن استجابة شخص آخر في جلستك.

4. استبدل الرمز بالرموز المميزة

POST https://id.millida.net/oauth/token
Content-Type: application/x-www-form-urlencoded
Authorization: Basic base64(client_id:client_secret)

grant_type=authorization_code&code=…&redirect_uri=…&code_verifier=…

تحتوي الاستجابة على access_token وid_token، وإذا طلبت offline_access فكذلك refresh_token.

5. اعرف من سجّل الدخول

حلّل id_token (تحقق من التوقيع مقابل JWKS، ومن iss وaud وexp وnonce) أو اطلب:

GET https://id.millida.net/oauth/userinfo
Authorization: Bearer <access_token>

ما البيانات التي يمكنك طلبها

الاسم المستعار غير المتصل ليس له UUID — سيكون minecraft_uuid فارغًا، وسيُملأ minecraft_username من الحساب. يأتي telegram_id كسلسلة نصية: فمعرّف محادثة Telegram لا يتسع لعدد JSON الدقيق، وتحليله كرقم يُفسد الأرقام الأخيرة.

اطلب فقط ما يلزم لعمل تسجيل الدخول: فالشخص يقرأ كل بند إضافي على شاشة الموافقة وقد يغيّر رأيه في الحال.

عن معرّف المستخدم

sub مختلف لكل تطبيق لنفس الشخص. وهو ثابت بالنسبة لموقعك، لكنه لا يطابق sub في مواقع أخرى — فلا يمكنك مطابقة الجماهير بين التطبيقات به.

خزّن sub كمفتاح المستخدم. البريد الإلكتروني غير مناسب لذلك: إذ يمكن تغييره.

التحقق من التطبيق

يعمل التطبيق الجديد فورًا، لكنه يُوسم بأنه غير موثّق على شاشة تسجيل الدخول. وعندما يصبح الموقع جاهزًا، اضغط “إرسال للمراجعة” في لوحة التحكم — وسنلقي نظرة ونزيل الوسم.

الأخطاء الشائعة

“redirect_uri does not match any registered address” — تتم مطابقة العنوان كسلسلة كاملة. تحقق من الشرطة المائلة في النهاية، والمخطط، والمنفذ.

“Only code_challenge_method=S256 is supported” — PKCE إلزامي، ولا يُقبل plain.

“The authorization code has already been used” — الرمز يُستخدم مرة واحدة ويعيش دقيقة. وتُعد إعادة الاستبدال علامة على تسريب وتلغي وصول التطبيق بالكامل.

توقف الرمز المميز عن العمل بعد الإلغاء — عطّل الشخص التطبيق في إعدادات أمان الملف الشخصي. هذا سلوك متوقع: أرسله لتسجيل الدخول من جديد.

كيف يلغي الشخص الوصول

الملف الشخصي → الأمان → “التطبيقات المتصلة” → “إلغاء”. يتوقف الوصول فورًا، وتموت جميع الرموز المميزة الصادرة.