Authentifizierung für Apps
Dieser Ordner richtet sich an App-Entwickler, die eine App oder ihre Benutzer bei Exponential anmelden müssen. Er erklärt, welche Zugangsdaten der Server annimmt, wie Sie sie jeweils erhalten und senden und wie Sie sie auf einem Gerät sicher aufbewahren.
Inhalt
- Die Voreinstellung: Jeder Aufruf braucht einen Benutzer
- Drei Arten von Zugangsdaten
- Seiten in diesem Ordner
Die Voreinstellung: Jeder Aufruf braucht einen Benutzer
rest.ini [Authentication] RequireAuthentication=enabled ist die Voreinstellung: Jede REST-Inhaltsroute braucht einen
Benutzer. Ein Administrator kann den Wert auf disabled setzen; dann läuft jede Anfrage als DefaultUserID (oder als
anonymer Benutzer), und die Berechtigungsprüfungen gelten weiterhin
(REST-API v1 und v2: Konfiguration). Das ist eine
Serverentscheidung mit Folgen für jeden Client; verlangen Sie sie nicht nur, um in einer App die Anmeldung zu sparen.
Die Remote-Dienste arbeiten anders: Dienste mit dem Zugriff public beantworten anonyme Aufrufe, alle anderen brauchen
einen angemeldeten Benutzer (expservices aus einer App aufrufen).
Drei Arten von Zugangsdaten
| Zugangsdaten | Sehen so aus | Gesendet als | Angenommen von | Lesen |
|---|---|---|---|---|
| OAuth2-Zugriffstoken | eine alphanumerische Zeichenkette | Authorization: OAuth <token> oder Bearer <token> | REST | OAuth2-Autorisierungscode-Ablauf |
| Persönlicher API-Schlüssel | expk_<12 characters>_<40 characters> | Authorization: Bearer expk_... | REST | Persönliche API-Schlüssel für Werkzeuge |
| expservices-Token | expt_ und 48 Hexadezimalzeichen | Authorization: Bearer expt_... und X-Exp-Token: expt_... | expservices | expservices-Tokens in Apps |
Statt OAuth lässt sich für REST auch HTTP-Basic-Authentifizierung konfigurieren
(AuthenticationStyle=ezpRestBasicAuthStyle), aber dann wird bei jeder Anfrage ein Passwort gesendet; dieser Abschnitt
empfiehlt das für Apps nicht.
Seiten in diesem Ordner
| Seite | Beantwortet |
|---|---|
| Zugangsdaten auswählen | Welche Zugangsdaten für welche Art von App |
| OAuth2-Autorisierungscode-Ablauf | Den Client registrieren, die Autorisierungsseite, der Token-Endpunkt, das Erneuern |
| Ein Backend für Ihre App | Warum das Client-Secret auf einem Server bleibt und wie Sie diesen Server bauen |
| Persönliche API-Schlüssel für Werkzeuge | Schlüssel für Ihre eigenen Skripte, Tests und internen Werkzeuge |
| expservices-Tokens in Apps | Bei den Remote-Diensten anmelden und ein Token erzeugen |
| Geheimnisse auf Geräten speichern | Keychain, Keystore und was Sie nie speichern |
| Der Authorization-Header und Proxys | Warum gültige Zugangsdaten trotzdem als nichts ankommen können |
Verwandte Seiten
- OAuth und API-Schlüssel
- Apps und API-Schlüssel (für Unternehmen)
- REST-API v1 und v2: Authentifizierung
- Freie Dokumentation: Diese Seite darf unter der GNU FDL 1.3 frei kopiert, übersetzt und verbessert werden.
Werden Sie Exponential-Partner
Partner teilen ihre Informationen, stellen Mittel bereit, geben Beiträge zurück und entwickeln die Produkte mit uns, und so wächst Exponential. Eine Partner-Website und ein Dashboard sind für Mitte 2027 geplant: Werden Sie noch heute Partner, damit wir schneller wachsen und neue Funktionen früher liefern.