Die Client-Credentials-Gewährung ist der OAuth 2.0-Ablauf ohne Benutzer. Ein Backend-Dienst authentifiziert sich gegenüber dem Autorisierungsserver mit seiner eigenen Identität, einer Client-ID und einem Client-Geheimnis, und erhält ein Zugriffstoken, das die Berechtigungen des Dienstes repräsentiert. Dies ist die Standardmethode, mit der Maschinen APIs in eigenem Namen aufrufen können.
Der Client sendet per POST-Anfrage mit dem Parameter `grant_type=client_credentials`, seinen Zugangsdaten und optional den gewünschten Berechtigungen eine Anfrage an den Token-Endpunkt. Die Antwort enthält ein Zugriffstoken und dessen Gültigkeitsdauer (`expires_in`). Der Client speichert das Token im Cache, verwendet es im Header `Authorization: Bearer` bis kurz vor dessen Ablauf und fordert dann ein neues an – in diesem Ablauf wird kein Aktualisierungstoken verwendet.
Dass es in einem Browser oder einer mobilen App sicher ist. Der Ablauf basiert darauf, dass der Client sein Geheimnis wahrt, und alles, was an ein Benutzergerät übertragen wird, kann dies nicht. Öffentliche Clients verwenden stattdessen den Autorisierungscode-Ablauf mit PKCE.
Mit dem POST-Request /auth/v1/oauth/token und den Parametern `grantType client_credentials`, `clientId demo-client` und `clientSecret demo-secret` wird ein Token zurückgegeben, das nach 15 Sekunden abläuft. Verwenden Sie dieses Token für den GET-Request /auth/v1/oauth/protected-resource und speichern Sie es in einer Variablen, um die beiden Anfragen zu verketten.
Diese Seite auf Englisch lesen
Alle Glossarbegriffe · Testtechniken · Alle 39 Mock-REST-APIs
Zuletzt aktualisiert