Oauth 2.0 “模仿的最佳实践”；“生成API令牌”；使用钥匙斗篷时_Oauth 2.0_Openid_Keycloak

Oauth 2.0 “模仿的最佳实践”；“生成API令牌”；使用钥匙斗篷时

oauth-2.0 openid keycloak

Oauth 2.0 “模仿的最佳实践”；“生成API令牌”；使用钥匙斗篷时,oauth-2.0,openid,keycloak,Oauth 2.0,Openid,Keycloak,我有一个SPA，它有一个由keydove保护的后端API。我希望允许SPA用户以编程方式而不是仅通过SPA对API执行操作。通常，应用程序允许用户“创建API密钥”并对API执行操作使用KeyClope执行此操作的推荐方法是什么我当前的计划是在公共客户端上启用直接访问授权（资源所有者密码凭据授权），并指示SPA用户检索访问令牌，具体操作如下： curl -u public-client: -X POST \ https://keycloak.url/auth/realms/REALM/p

我有一个SPA，它有一个由keydove保护的后端API。我希望允许SPA用户以编程方式而不是仅通过SPA对API执行操作。通常，应用程序允许用户“创建API密钥”并对API执行操作

使用KeyClope执行此操作的推荐方法是什么

我当前的计划是在公共客户端上启用直接访问授权（资源所有者密码凭据授权），并指示SPA用户检索访问令牌，具体操作如下：

curl -u public-client: -X POST \
  https://keycloak.url/auth/realms/REALM/protocol/openid-connect/token \
  -d 'grant_type=password&username=USER&password=PASSWORD'

然后，用户可以使用她的访问令牌访问API。它能工作，但感觉不太对劲

有更好的（简单的）方法吗？提前谢谢

您的SPA只是API的另一个客户端，所有客户端都经历相同的登录过程。唯一的区别是auth令牌将存储在哪里，通过SPA浏览器将使用API存储它们，这取决于您

有关api登录的更多详细信息，请参阅本文：

您的SPA只是API的另一个客户端，所有客户端都经历相同的登录过程。唯一的区别是auth令牌将存储在哪里，通过SPA浏览器将使用API存储它们，这取决于您

有关api登录的更多详细信息，请参阅本文：