Pregled avtentikacije

V tem vodniku je pojasnjeno, kako se avtenticirate pri našem API-ju. Podpiramo več metod avtentikacije:

Ključi API

Najpreprostejša metoda avtentikacije je uporaba ključev API. Vsak ključ API je povezan z določenim uporabnikom in ima določena dovoljenja.

// Example API Key request
const response = await fetch('https://api.example.com/data', {
  headers: {
    'Authorization': 'Bearer YOUR_API_KEY'
  }
});

OAuth 2.0

Za aplikacije z višjimi zahtevami glede varnosti podpiramo potek avtentikacije OAuth 2.0:

1. Zahteva za avtorizacijo: uporabnika preusmerite na naš avtorizacijski URL
2. Privolitev uporabnika: uporabnik odobri dostop do svojega računa
3. Avtorizacijska koda: naš strežnik vrne avtorizacijsko kodo
4. Menjava za žeton: kodo zamenjate za dostopni žeton
5. Zahteve API: z dostopnim žetonom dostopate do zaščitenih virov

Žetoni JWT

Po avtentikaciji izdamo žetone JWT, ki vsebujejo kodirane podatke o uporabniku in njegovih dovoljenjih.

// Example JWT token usage
const response = await fetch('https://api.example.com/protected-resource', {
  headers: {
    'Authorization': 'Bearer eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9...'
  }
});

Upravljanje sej

Seje so privzeto veljavne 24 ur. Sejo osvežite takole:

const refreshResponse = await fetch('https://api.example.com/auth/refresh', {
  method: 'POST',
  headers: {
    'Content-Type': 'application/json',
    'Authorization': 'Bearer CURRENT_REFRESH_TOKEN'
  }
});

// Parse the new tokens
const { accessToken, refreshToken } = await refreshResponse.json();

Najboljše prakse

1. Ključev ali žetonov API nikoli ne shranjujte v kodo na strani odjemalca
2. Za občutljive poverilnice uporabite spremenljivke okolja
3. Pri dolgotrajnih aplikacijah uvedite mehanizme za osveževanje žetonov
4. Nastavite ustrezne čase poteka žetonov
5. Za vse zahteve API uporabljajte HTTPS