Hoppa till innehållet
Sursa Developers

POST/oauth/token

Utfärda en OAuth 2.0-token

oauth_token

Tokenslutpunkten i OAuth 2.0 (RFC 6749, avsnitt 3.2). grant_type: authorization_code byter en engångskod mot ett tokenpar och kräver code_verifier (PKCE S256); refresh_token utfärdar ett nytt par för en uppdateringstoken och ogiltigförklarar den tidigare uppdateringstoken (rotation), och återanvändning av en ogiltigförklarad token återkallar hela kedjan; client_credentials utfärdar en token för organisationens räkning, bara för en app av typen confidential, utan uppdateringstoken. En klient av typen confidential autentiserar sig med huvudet Authorization: Basic eller med fälten client_id och client_secret; en offentlig klient skickar bara client_id. En åtkomsttoken gäller i 1 timme, en uppdateringstoken i 90 dagar. Svar och fel följer RFC 6749, avsnitt 5, med Cache-Control: no-store. Tillagd i 1.62.0.

Autentisering

Inga autentiseringsuppgifter behövs.

Anropets brödtext

application/x-www-form-urlencoded

Objekt: OAuthTokenRequest

  • grant_typestringobligatorisk

    Tillåtna värden: authorization_coderefresh_tokenclient_credentials

  • codestring

    Auktoriseringskod (authorization_code).

  • redirect_uristring

    Samma omdirigerings-URI som i auktoriseringsbegäran (authorization_code).

  • code_verifierstring

    Det ursprungliga PKCE-värdet, 43 till 128 tecken (authorization_code).

  • refresh_tokenstring

    Uppdatering (refresh_token).

  • scopestring

    Omfång åtskilda med mellanslag, bara för att inskränka (refresh_token, client_credentials).

  • client_idstring

    Appens id, när hemligheten inte skickas i huvudet Authorization: Basic.

  • client_secretstring

    Klienthemligheten för en app av typen confidential, när den inte skickas i huvudet Authorization: Basic.

Svar

200Token har utfärdats.

Svarshuvuden

  • RateLimit-Policy

    Gällande gränser i formatet från IETF-utkastet draft-ietf-httpapi-ratelimit-headers: kommaseparerade poster "<name>";q=<quota>;w=<window in seconds>. key är API-nyckelns anropsfrekvens (kvoten är toppen (burst), fönstret är tiden tills den har fyllts på helt; för en session är det user, utan autentiseringsuppgifter ip); minute, day och month är organisationens kvoter för kalenderminuten, kalenderdygnet och kalendermånaden i UTC.

  • RateLimit

    Vad som återstår av varje gräns i RateLimit-Policy: "<name>";r=<remaining>;t=<seconds until reset>.

  • X-RateLimit-Limit

    Gränsen för den striktaste posten i RateLimit-Policy (den med minst antal återstående anrop).

  • X-RateLimit-Remaining

    Återstående anrop inom den striktaste gränsen.

  • X-RateLimit-Reset

    Sekunder tills den striktaste gränsen nollställs.

application/json

Objekt: OAuthTokenResponse

  • access_tokenstringobligatorisk

    Åtkomsttoken (kbat_…) för huvudet Authorization: Bearer.

  • token_typestringobligatorisk

    Tillåtna värden: Bearer

  • expires_inintegerobligatorisk

    Åtkomsttokenens livslängd i sekunder.

  • refresh_tokenstring

    Uppdateringstoken (kbrt_…); saknas för klientuppgifter.

  • scopestringobligatorisk

    Tokenens omfång, åtskilda med mellanslag.

400Fel enligt RFC 6749, avsnitt 5.2.

Svarshuvuden

  • RateLimit-Policy

    Gällande gränser i formatet från IETF-utkastet draft-ietf-httpapi-ratelimit-headers: kommaseparerade poster "<name>";q=<quota>;w=<window in seconds>. key är API-nyckelns anropsfrekvens (kvoten är toppen (burst), fönstret är tiden tills den har fyllts på helt; för en session är det user, utan autentiseringsuppgifter ip); minute, day och month är organisationens kvoter för kalenderminuten, kalenderdygnet och kalendermånaden i UTC.

  • RateLimit

    Vad som återstår av varje gräns i RateLimit-Policy: "<name>";r=<remaining>;t=<seconds until reset>.

  • X-RateLimit-Limit

    Gränsen för den striktaste posten i RateLimit-Policy (den med minst antal återstående anrop).

  • X-RateLimit-Remaining

    Återstående anrop inom den striktaste gränsen.

  • X-RateLimit-Reset

    Sekunder tills den striktaste gränsen nollställs.

application/json

Objekt: OAuthErrorResponse

401Ogiltiga klientuppgifter (`invalid_client`).

Svarshuvuden

  • RateLimit-Policy

    Gällande gränser i formatet från IETF-utkastet draft-ietf-httpapi-ratelimit-headers: kommaseparerade poster "<name>";q=<quota>;w=<window in seconds>. key är API-nyckelns anropsfrekvens (kvoten är toppen (burst), fönstret är tiden tills den har fyllts på helt; för en session är det user, utan autentiseringsuppgifter ip); minute, day och month är organisationens kvoter för kalenderminuten, kalenderdygnet och kalendermånaden i UTC.

  • RateLimit

    Vad som återstår av varje gräns i RateLimit-Policy: "<name>";r=<remaining>;t=<seconds until reset>.

  • X-RateLimit-Limit

    Gränsen för den striktaste posten i RateLimit-Policy (den med minst antal återstående anrop).

  • X-RateLimit-Remaining

    Återstående anrop inom den striktaste gränsen.

  • X-RateLimit-Reset

    Sekunder tills den striktaste gränsen nollställs.

application/json

Objekt: OAuthErrorResponse

Säkra nya försök

Skicka huvudet Idempotency-Key (till exempel ett UUID) med varje POST och PATCH. Ett nytt försök med samma nyckel inom 24 timmar returnerar det sparade svaret i stället för att köra anropet igen.

Hastighetsbegränsningar

Svaren innehåller huvudena RateLimit och RateLimit-Policy samt de tidigare X-RateLimit-Limit, X-RateLimit-Remaining och X-RateLimit-Reset. Ett 429-svar har Retry-After i sekunder: vänta och försök igen.

← oauth · API-referens