OAuth2 och OpenID Connect på djupet · Lektion

Client Credentials Flow

Lär dig hur detta flöde möjliggör autentisering mellan maskiner, där en klient agerar för egen räkning och inte för en användares.

Lektion 2 av 412 steg

Client Credentials Flow är en gratis lektion i OAuth2 och OpenID Connect på djupet på CoddyKit. Detta är lektion 2 av 4. Du kan läsa vilka 3 lektioner som helst i den här lärvägen kostnadsfritt i sin helhet – därefter låser CoddyKit PRO upp alla lektioner, plus praktisk övning med en inbyggd kodredigerare och en AI-lärare dygnet runt. Den ingår i lärvägen för OAuth2 och OpenID Connect på djupet, och Era framsteg synkroniseras mellan webben och CoddyKit-appen. Kursen i OAuth2 och OpenID Connect på djupet innehåller totalt 4 lektioner.

Client Credentials: introduktion

Välkommen till lektionen om Client Credentials Flow! Detta flöde är en särskild typ av OAuth2-beviljande som är utformad för maskin-till-maskin-autentisering.

Till skillnad från andra flöden där en användare deltar agerar en applikation (”klienten”) här helt på egna vägnar.

När appar kommunicerar med appar

Föreställ dig att du har en backendtjänst som behöver komma åt ett API för att uppdatera data, eller ett schemalagt jobb som hämtar rapporter från ett annat system.

I dessa scenarier finns ingen slutanvändare som kan logga in eller ge sitt samtycke. Applikationen måste själv bevisa sin identitet och auktorisera sin egen åtkomst.

Viktiga roller, ingen användare

Client Credentials Flow omfattar färre aktörer än användarcentrerade flöden:

Klient: Din applikation (t.ex. en backendtjänst eller en daemon).
Auktoriseringsserver: Verifierar klientens identitet och utfärdar en åtkomsttoken.
Resursserver: Värd för de skyddade resurserna (API:erna) som klienten vill komma åt.

Vem saknas? Resursägaren (slutanvändaren).

Så fungerar flödet

Processen är enkel:

Klienten skickar sitt client_id och sin client_secret direkt till auktoriseringsservern.
Auktoriseringsservern validerar dessa autentiseringsuppgifter.
Om de är giltiga utfärdar auktoriseringsservern en åtkomsttoken direkt till klienten.
Klienten använder sedan denna åtkomsttoken för att komma åt skyddade resurser på resursservern.

Din apps hemliga identitet

client_id är en offentlig identifierare för din applikation, ungefär som ett användarnamn.

client_secret är ett konfidentiellt värde som endast din applikation och auktoriseringsservern känner till. Se det som appens lösenord.

Det är med dessa autentiseringsuppgifter som klienten autentiserar sig hos auktoriseringsservern.

Begära en åtkomsttoken

Här är ett förenklat Python-exempel på hur en klient kan begära en åtkomsttoken med hjälp av sina autentiseringsuppgifter. grant_type måste vara client_credentials.

import requests
import json

# Replace with your actual credentials & endpoint
CLIENT_ID = "my_backend_app"
CLIENT_SECRET = "super_secret_key"
TOKEN_ENDPOINT = "https://auth.example.com/oauth/token"

def get_access_token():
    payload = {
        "grant_type": "client_credentials",
        "client_id": CLIENT_ID,
        "client_secret": CLIENT_SECRET
    }
    try:
        response = requests.post(TOKEN_ENDPOINT, data=payload)
        response.raise_for_status() # Raise for HTTP errors
        token_data = response.json()
        print("\nToken received:")
        print(json.dumps(token_data, indent=2))
        return token_data.get("access_token")
    except requests.exceptions.RequestException as e:
        print(f"Error: {e}")
        return None

if __name__ == "__main__":
    # Run this code to see a mock token request
    # You might need 'pip install requests'
    get_access_token()

Förstå svaret

Efter en lyckad autentisering returnerar auktoriseringsservern ett JSON-svar som innehåller åtkomsttokenen och ytterligare information:

access_token: Tokenen som ska användas för API-anrop.
token_type: Vanligtvis "Bearer".
expires_in: Hur länge tokenen är giltig (i sekunder).

Denna åtkomsttoken används sedan i efterföljande begäranden till resursservern.

Använda åtkomsttokenen

När åtkomsttokenen har hämtats inkluderas den i rubriken Authorization i begäranden till resursservern. Detta talar om för resursservern att klienten har behörighet att komma åt de begärda uppgifterna.

import requests
import json

# Placeholder for a token you'd get from the Auth Server
# In a real app, this would be dynamic.
ACCESS_TOKEN = "your_actual_access_token_here"
RESOURCE_API_URL = "https://api.example.com/data/reports"

def call_protected_resource(token):
    if not token or token == "your_actual_access_token_here":
        print("Error: Token is missing or a placeholder.")
        return

    headers = {
        "Authorization": f"Bearer {token}",
        "Accept": "application/json"
    }
    try:
        response = requests.get(RESOURCE_API_URL, headers=headers)
        response.raise_for_status() # Raise for HTTP errors
        api_data = response.json()
        print("\nResource data received:")
        print(json.dumps(api_data, indent=2))
    except requests.exceptions.RequestException as e:
        print(f"Error accessing resource: {e}")

if __name__ == "__main__":
    # Run this code with a valid token to mock API access
    # You might need 'pip install requests'
    call_protected_resource(ACCESS_TOKEN)

Praktiska användningsområden

Client Credentials Flow passar utmärkt för:

Backendtjänster: En mikrotjänst som anropar en annan mikrotjänst.
Daemon-applikationer: Bakgrundsjobb som körs regelbundet utan användarens medverkan.
Automatiserade skript: Skript som behöver interagera med ett API (t.ex. för provisionering eller övervakning).
API-gatewayer: När gatewayen autentiserar sig själv vid vidarebefordran av begäranden till interna tjänster.

Bästa säkerhetspraxis

Även om ingen användare deltar är säkerheten avgörande:

Skydda klienthemligheten: Hårdkoda aldrig hemligheter. Använd miljövariabler, tjänster för hantering av hemligheter (som AWS Secrets Manager eller HashiCorp Vault) eller konfigurationsfiler.
HTTPS: Använd alltid HTTPS för all kommunikation för att skydda autentiseringsuppgifter och tokenar under överföringen.
Tokenens giltighetstid: Åtkomsttokenar har kort giltighetstid. Hantera förnyelse eller nya begäranden av dem.
Begränsa omfånget: Begär endast de behörigheter (scopes) som klienten behöver.

Snabb kontroll

Vilka av följande påståenden beskriver Client Credentials Flow korrekt?

Besvara frågan i den interaktiva lektionen

Sammanfattning: Client Credentials

I den här lektionen har du lärt dig om Client Credentials Flow, en robust OAuth2-typ av beviljande för maskin-till-maskin-autentisering.

Det gör det möjligt för applikationer att hämta åtkomsttokenar med sitt eget client_id och sin egen client_secret.
Ingen användarinteraktion eller något samtycke krävs.
Det passar utmärkt för bakgrundstjänster, daemon-appar och kommunikation mellan API:er.
Skydda alltid klientens autentiseringsuppgifter och använd HTTPS.

Gratis att börja

Lär dig OAuth2 och OpenID Connect på djupet med en AI-lärare – gratis

Skriv och kör riktig kod i webbläsaren, få omedelbar hjälp av en AI-lärare dygnet runt och fortsätt där du slutade – på webben eller i appen.

Kurser: 12
Lektioner: 48

Börja lära dig gratis Visa hela kursen

Vanliga frågor

Är lektionen ”Client Credentials Flow” gratis?

Ja – du kan läsa vilka 3 lektioner som helst i lärvägen OAuth2 och OpenID Connect på djupet, inklusive ”Client Credentials Flow”, kostnadsfritt i sin helhet här på webben. Därefter låser CoddyKit PRO upp alla lektioner, plus interaktiv övning med en inbyggd kodredigerare och en AI-lärare dygnet runt. Kursen i OAuth2 och OpenID Connect på djupet innehåller totalt 4 lektioner.

Vad lär jag mig i ”Client Credentials Flow”?

Lär dig hur detta flöde möjliggör autentisering mellan maskiner, där en klient agerar för egen räkning och inte för en användares. Ni övar på OAuth2 och OpenID Connect på djupet med praktisk kod som körs direkt i webbläsaren, medan en AI-handledare som är tillgänglig dygnet runt svarar på Era frågor under lektionen.

Behöver jag någon erfarenhet för att börja lära mig OAuth2 och OpenID Connect på djupet?

Du behöver inga förkunskaper. Utbildningen i OAuth2 och OpenID Connect på djupet på CoddyKit är upplagd för allt från nybörjare till avancerade elever, så att du kan börja här eller från början och gå fram i din egen takt. Detta är lektion 2 av 4.

Hur lång tid tar lektionen ”Client Credentials Flow”?

De flesta CoddyKit-lektioner tar cirka 5–10 minuter. Varje lektion är kort och interaktiv, så att du gör stadiga framsteg och kan fortsätta precis där du slutade – på webben eller i appen.

Kan jag skriva och köra kod i den här OAuth2 och OpenID Connect på djupet-lektionen?

Ja. Varje OAuth2 och OpenID Connect på djupet-lektion innehåller en inbyggd kodredigerare, så att du kan skriva och köra riktig kod direkt i webbläsaren och få omedelbar AI-feedback – utan lokal installation.

Alla lektioner i den här kursen

← Tillbaka till OAuth2 och OpenID Connect på djupet