Anar al contingut
Sursa Developers

POST/oauth/token

Emetre un token d’OAuth 2.0

oauth_token

El punt final del token d’OAuth 2.0 (RFC 6749, secció 3.2). grant_type: authorization_code bescanvia un codi d’un sol ús per un parell de tokens i requereix code_verifier (PKCE S256); refresh_token emet un parell nou a canvi d’un token d’actualització i invalida el token d’actualització anterior (rotació), i reutilitzar-ne un d’invalidat revoca tota la cadena; client_credentials emet un token en nom de l’organització, només per a una aplicació confidential, sense token d’actualització. Un client confidential s’autentica amb la capçalera Authorization: Basic o amb els camps client_id i client_secret; un client públic només envia client_id. Un token d’accés és vàlid durant 1 hora, i un token d’actualització, durant 90 dies. Les respostes i els errors segueixen l’RFC 6749, secció 5, amb Cache-Control: no-store. Afegit a la 1.62.0.

Autenticació

No cal cap credencial.

Cos de la sol·licitud

application/x-www-form-urlencoded

Objecte: OAuthTokenRequest

  • grant_typestringobligatori

    Valors permesos: authorization_coderefresh_tokenclient_credentials

  • codestring

    Codi d’autorització (authorization_code).

  • redirect_uristring

    La mateixa URI de redirecció que a la sol·licitud d’autorització (authorization_code).

  • code_verifierstring

    Valor PKCE original, de 43 a 128 caràcters (authorization_code).

  • refresh_tokenstring

    Token d’actualització (refresh_token).

  • scopestring

    Àmbits separats per espais, només per restringir (refresh_token, client_credentials).

  • client_idstring

    ID de l’aplicació, quan el secret no es passa a la capçalera Authorization: Basic.

  • client_secretstring

    Secret de client d’una aplicació confidential, quan no es passa a la capçalera Authorization: Basic.

Respostes

200S’han emès els tokens.

Capçaleres de la resposta

  • RateLimit-Policy

    Límits vigents, en el format de l’esborrany de l’IETF draft-ietf-httpapi-ratelimit-headers: elements separats per comes "<name>";q=<quota>;w=<window in seconds>. key és la freqüència de sol·licituds de la clau d’API (la quota és la ràfega, la finestra és el temps que triga a reomplir-se del tot; per a una sessió és user, sense credencials ip); minute, day i month són les quotes de l’organització per al minut, el dia i el mes naturals en UTC.

  • RateLimit

    El que queda de cada límit de RateLimit-Policy: "<name>";r=<remaining>;t=<seconds until reset>.

  • X-RateLimit-Limit

    Límit de l’element més restrictiu de RateLimit-Policy (el que té menys sol·licituds restants).

  • X-RateLimit-Remaining

    Sol·licituds restants dins del límit més restrictiu.

  • X-RateLimit-Reset

    Segons que falten perquè es restableixi el límit més restrictiu.

application/json

Objecte: OAuthTokenResponse

  • access_tokenstringobligatori

    Token d’accés (kbat_…) per a la capçalera Authorization: Bearer.

  • token_typestringobligatori

    Valors permesos: Bearer

  • expires_inintegerobligatori

    Durada del token d’accés en segons.

  • refresh_tokenstring

    Token d’actualització (kbrt_…); no hi és en client credentials.

  • scopestringobligatori

    Àmbits del token separats per espais.

400Error tal com el defineix l’RFC 6749, secció 5.2.

Capçaleres de la resposta

  • RateLimit-Policy

    Límits vigents, en el format de l’esborrany de l’IETF draft-ietf-httpapi-ratelimit-headers: elements separats per comes "<name>";q=<quota>;w=<window in seconds>. key és la freqüència de sol·licituds de la clau d’API (la quota és la ràfega, la finestra és el temps que triga a reomplir-se del tot; per a una sessió és user, sense credencials ip); minute, day i month són les quotes de l’organització per al minut, el dia i el mes naturals en UTC.

  • RateLimit

    El que queda de cada límit de RateLimit-Policy: "<name>";r=<remaining>;t=<seconds until reset>.

  • X-RateLimit-Limit

    Límit de l’element més restrictiu de RateLimit-Policy (el que té menys sol·licituds restants).

  • X-RateLimit-Remaining

    Sol·licituds restants dins del límit més restrictiu.

  • X-RateLimit-Reset

    Segons que falten perquè es restableixi el límit més restrictiu.

application/json

Objecte: OAuthErrorResponse

401Credencials de client no vàlides (`invalid_client`).

Capçaleres de la resposta

  • RateLimit-Policy

    Límits vigents, en el format de l’esborrany de l’IETF draft-ietf-httpapi-ratelimit-headers: elements separats per comes "<name>";q=<quota>;w=<window in seconds>. key és la freqüència de sol·licituds de la clau d’API (la quota és la ràfega, la finestra és el temps que triga a reomplir-se del tot; per a una sessió és user, sense credencials ip); minute, day i month són les quotes de l’organització per al minut, el dia i el mes naturals en UTC.

  • RateLimit

    El que queda de cada límit de RateLimit-Policy: "<name>";r=<remaining>;t=<seconds until reset>.

  • X-RateLimit-Limit

    Límit de l’element més restrictiu de RateLimit-Policy (el que té menys sol·licituds restants).

  • X-RateLimit-Remaining

    Sol·licituds restants dins del límit més restrictiu.

  • X-RateLimit-Reset

    Segons que falten perquè es restableixi el límit més restrictiu.

application/json

Objecte: OAuthErrorResponse

Reintents segurs

Envieu una capçalera Idempotency-Key (per exemple, un UUID) amb cada POST i PATCH. Un reintent amb la mateixa clau en un termini de 24 hores retorna la resposta desada en lloc de tornar a executar la sol·licitud.

Límits de freqüència

Les respostes porten les capçaleres RateLimit i RateLimit-Policy i les anteriors X-RateLimit-Limit, X-RateLimit-Remaining i X-RateLimit-Reset. Una resposta 429 té Retry-After en segons: espereu i torneu-ho a provar.

← oauth · Referència de l’API