W ramach REST API udostępniliśmy dwa typy autoryzacji:

1. Authorization Code - najpopularniejsza dla standardu OAuth. Jest ona wykorzystywana w sytuacjach, w których klient (aplikacja) potrzebuje wykonywać operacje w imieniu innego użytkownika. W takim przypadku niezbędne staje się otrzymanie zgody od użytkownika na takie działanie. W tym celu użytkownik zostaje przekierowany do formularza celem zalogowania się oraz wyrażenia zgody na wykorzystanie jego danych. Po poprawnym uwierzytelnieniu i przydzieleniu dostępu zwrócony zostaje kod autoryzacyjny, który następnie należy wymienić na token dostępu dla zalogowanego użytkownika.

   Adresy OAuth 2.0:

   • Authorization: https://auth.hejto.pl/authorize
   • Token: https://auth.hejto.pl/token

   Przykładowy przebieg autoryzacji sposobem Authorization Code:

   • Przygotuj link autoryzacyjny, a następnie przekieruj pod niego użytkownika którego chcesz uwierzytelnić, np. przy pomocy przycisku Zaloguj się przez Hejto.

     https://auth.hejto.pl/authorize?response_type=code&client_id={client_id}&redirect_uri={redirect_uri}&scope={scope1 scope2 scope3}

   • Po poprawnym uwierzytelnieniu i wyrażeniu zgody użytkownik zostanie przekierowany na {redirect_uri} z parametrem code

     {redirect_uri}/?code={authorization_code}

   • W kolejnym kroku wymień code na token użytkownika. Aby to zrobić wyśli żądanie metodą POST pod adres https://auth.hejto.pl/token dodając nagłówek Content-type: application/json a w żądaniu prześlij nastąpujące dane w formacie JSON:

     POST https://auth.hejto.pl/token
     {
         "client_id": "{client_id}",
         "client_secret": "{client_secret}",
         "grant_type": "authorization_code",
         "redirect_uri": "{redirect_uri}",
         "code": "{authorization_code}"
     }

   • W odpowiedzi uzyskasz token dostępowy użytkownika oraz pozostałe informacje.

     HTTP 200 OK
     {
         "token_type": "Bearer",
         "expires_in": 86400,
         "access_token": "{access_token}"
     }

   • Aby wykonać żądanie w imieniu zalogowanego użytkownika, dołącz uzyskany access_token w nagłówku Authorization: Bearer {access_token} do żądania do serwera api.hejto.pl.

2. Client Credentials - ten typ autoryzacji jest przydatny, gdy nie potrzebujemy wykonywać operacji w imieniu innego użytkownika, a jedynie w imieniu własnego konta. Możesz wykorzystać ten typ autoryzacji do zautomatyzowania operacji na swoim własnym koncie.

   Przykładowy przebieg autoryzacji sposobem Authorization Code:

   • Aby uzyskać token dostępu wyśli żądanie metodą POST pod adres https://auth.hejto.pl/token dodając nagłówek Content-type: application/json a w żądaniu prześlij nastąpujące dane w formacie JSON:

     POST https://auth.hejto.pl/token
     {
         "client_id": "{client_id}",
         "client_secret": "{client_secret}",
         "grant_type": "client_credentials",
     }

   • W odpowiedzi uzyskasz token dostępowy użytkownika oraz pozostałe informacje.

     HTTP 200 OK
     {
         "token_type": "Bearer",
         "expires_in": 86400,
         "access_token": "{access_token}"
     }

   • Aby wykonać żądanie w swoim imieniu, dołącz uzyskany access_token w nagłówku Authorization: Bearer {access_token} do żądania do serwera api.hejto.pl.