Korzystanie z tokena odświeżania

Przepływ z użyciem tokenu odświeżania to bezpieczniejszy sposób autoryzacji żądań API. Zamiast bezpośrednio używać pojedynczego, długoterminowego poświadczenia, wymieniasz token odświeżania na krótkoterminowy token dostępu. Gdy token dostępu wygaśnie, ponownie dokonujesz wymiany.

Pamiętaj, że token odświeżania nie może samodzielnie służyć do autoryzacji żądań API; zawsze trzeba go najpierw wymienić na token odświeżania.

Aby korzystać z tego przepływu, wybierz opcję refresh token podczas tworzenia tokenu w Admin → Developer. Podczas tworzenia otrzymasz trzy wartości:

• Client ID – identyfikuje Twoją integrację

• Client secret – uwierzytelnia żądanie wymiany

• Refresh token – służy do uzyskiwania tokenów dostępu

Wymiana tokenu odświeżania na token dostępu

Wyślij żądanie POST do punktu końcowego tokenów Altium Identity.

Token Endpoint

Request Body (application/x-www-form-urlencoded)

grant_type=refresh_token
refresh_token={refresh-token}
client_id={client-id}
client_secret={client-secret}

Response

{
  "access_token": "...",
  "expires_in": 14400,
  "token_type": "Bearer",
  "refresh_token": "...",
  "scope": "..."
}

Użyj access_token z odpowiedzi do autoryzacji żądań API. expires_in jest wyrażone w sekundach i wskazuje, jak długo token dostępu pozostaje ważny.

curl Example:

curl -X POST https://auth.altium.com/connect/token \
  -H "Content-Type: application/x-www-form-urlencoded" \
  --data-urlencode "grant_type=refresh_token" \
  --data-urlencode "refresh_token={refresh-token}" \
  --data-urlencode "client_id={client-id}" \
  --data-urlencode "client_secret={client-secret}"

Integracja z aplikacją

Typowy schemat dla długotrwałych integracji:

1. Przechowuj token odświeżania, identyfikator klienta i sekret klienta w bezpieczny sposób (np. w zmiennych środowiskowych lub menedżerze sekretów).

2. Przy uruchomieniu wywołaj punkt końcowy tokenów, aby uzyskać nowy token dostępu.

3. Używaj tokenu dostępu do żądań API. Przechowuj go w pamięci podręcznej do momentu wygaśnięcia.

4. Po wygaśnięciu (status HTTP 401 Unauthorized lub 200 OK z kodem błędu AuthExpiredToken w odpowiedzi GraphQL) ponownie wymień token odświeżania, aby uzyskać nowy token dostępu.

Tokeny odświeżania wygasają po okresie ważności skonfigurowanym podczas tworzenia (maksymalnie 1 rok). Gdy token odświeżania wygaśnie, musisz utworzyć nowy w sekcji Administracja → Deweloper.

Zobacz także

• Korzystanie z tokenu dostępu