헤드리스 ID API: 공개 클라이언트의 헤드리스 무암호 로그인 플로

최종 사용자가 로그인을 위해 이메일 주소 또는 전화 번호 입력

최종 사용자가 앱을 방문하면 플로가 시작됩니다. 앱에 사용자의 이메일 주소 또는 전화 번호만 요청하는 로그인 양식이 기본적으로 표시됩니다. 또는 주문 번호와 같은 다른 식별자를 기반으로 사용자를 조회하는 헤드리스 사용자 검색 처리기를 사용하는 경우 앱에서 사용자에게 식별자를 묻는 로그인 양식을 표시할 수 있습니다. 최종 사용자가 정보를 입력하고 버튼을 클릭하여 로그인합니다.

앱에서 사용자 이름 찾기

헤드리스 사용자 검색 처리기를 사용하지 않는 경우 앱에서 사용자의 이메일 주소 또는 전화 번호를 검색하고 연결된 사용자 이름을 찾습니다.

헤드리스 사용자 검색 처리기를 사용하는 경우 앱에서 이 단계를 건너 ⁇ 니다. 처리기는 초기 요청을 제출한 후 사용자를 조회합니다.

앱이 헤드리스 무암호 로그인 API에 요청을 보냅니다.

브라우저에서 앱이 Experience Cloud 사이트의 헤드리스 무암호 로그인 끝점(services/auth/headless/init/passwordless/login)에 헤드리스 POST 요청을 보냅니다.

요청 본문에 다음 매개 변수를 포함하십시오.

다음은 헤드리스 무암호 로그인 API에 대한 요청의 예입니다. 이 요청은 헤드리스 사용자 검색 처리기를 사용하지 않는 구현용입니다.

POST /services/auth/headless/init/passwordless/login? HTTP 1.1
Host: MyExperienceCloudSite.my.site.com
{
 "verificationmethod": "email",
"username": "janice.edwards@example.com",
"recaptcha": "***********",
"emailtemplate": "unfiled$public/SalesNewCustomerEmail"
}

다음은 헤드리스 사용자 검색 처리기를 사용하는 경우 요청의 예입니다.

POST /services/auth/headless/init/passwordless/login? HTTP 1.1
Host: MyExperienceCloudSite.my.site.com
{
 "verificationmethod": "email",
"login_hint": "<user identifier such as email address, phone number, order number>",
"recaptcha": "***********",
"emailtemplate": "unfiled$public/SalesNewCustomerEmail"
}

(옵션) 헤드리스 사용자 검색 처리기에서 사용자 찾기

헤드리스 사용자 검색 처리기를 사용하는 경우 처리기는 login_hint 매개 변수를 가져와 연결된 사용자를 찾습니다. 처리기가 사용자의 이메일 주소 또는 전화 번호가 확인되었는지 확인합니다.

예제 처리 방법은 Auth.HeadlessUserDiscoveryHandler를 참조하십시오.

Salesforce에서 앱에 요청 식별자 반환

요청이 성공하면 Salesforce에서 요청에 대한 identifier가 포함된 성공 메시지를 반환합니다. 이는 이후 플로에서 액세스 토큰을 교환할 때 중요합니다. 성공 메시지 예제는 다음과 같습니다.

{
    "status”: "success",
    "email": "jedwards@example.com",
    "identifier": “0RXXXXXXXX”
}

Salesforce에서 사용자에게 OTP 전송

Salesforce가 앱에 요청 식별자를 보낸 직후 OTP를 사용하여 사용자에게 이메일 또는 SMS 텍스트 메시지를 보냅니다.

앱의 확인 양식 표시

앱에 사용자가 OTP를 입력할 수 있는 확인 양식이 기본적으로 표시됩니다.

최종 사용자가 OTP 입력

최종 사용자가 이메일 또는 텍스트 메시지를 통해 OTP를 수신하고 앱의 확인 양식에 입력합니다.

앱에서 PKCE 매개 변수를 생성합니다.

PKCE 확장을 사용하는 경우(적극 권장) 앱이 code_verifier 및 code_challenge 매개 변수를 생성합니다.

RFC 7636에 정의된 PKCE 사양에는 인가 요청 시 보낼 수 있는 선택 사항인 code_challenge_method 매개 변수도 포함되어 있습니다. Salesforce에서는 이 매개 변수에 전송한 값을 무시하며 기본값은 SHA256입니다.

앱이 인가 끝점에 요청 전송

사용자가 OTP를 입력하여 ID를 확인하는 즉시 앱이 인가 코드에 대한 요청 ID와 OTP를 교환하는 인가 끝점에 대한 요청을 사용하여 인가 코드 및 자격 증명 플로를 시작합니다.

인가 요청에 다음 머리글을 포함하십시오.

요청 본문에 다음 매개 변수를 포함하십시오.

인가 끝점에 대한 요청 예제는 다음과 같습니다. 이 예에는 PKCE가 포함되어 있습니다.

POST /services/oauth2/authorize? HTTP 1.1
Host: MyExperienceCloudSite.my.site.com
Auth-Request-Type: passwordless-login
Auth-Verification-Type: email
Authorization: Basic <base64-encoded identifier:OTP

response_type=code_credentials&
client_id=***********&
redirect_uri=https://www.MyExperienceCloudSite.my.site.com/services/oauth2/echo&
code_challenge=********

Salesforce에서 요청을 확인하고 302 리디렉션 반환

요청이 인가 끝점에 도달하면 Salesforce가 요청 식별자 및 OTP를 확인합니다. 그 후 Salesforce가 HTTP 302 리디렉션을 인가 코드가 포함된 미리 구성된 URL로 반환합니다. 브라우저에서 플로가 발생하는 경우 브라우저에서 302 리디렉션이 처리되고 Salesforce에서 콜백 끝점인 리디렉션 URL에 리디렉션 응답을 자동으로 전송합니다. 다음은 미리 구성된 URL의 예입니다.

https://www.MyDomainName.my.site.com/services/apexrest/code/exchange?code=aPrxC1*******
&sfdc_community_url=https%3A%2F%2FMyDomainName.my.site.com&sfdc_community_id=0DBxxxxxxxxxxxx

콜백 끝점에서 앱에 인가 코드 보내기

콜백 끝점은 인가 코드를 추출하고 앱에 반환합니다. 다음 코드 예에서 리디렉션 URL은 Experience Cloud 사이트의 /services/oauth2/echo 콜백 끝점을 가리킵니다. 이 끝점은 302 리디렉션을 자동으로 구문 분석하고 인가 코드 및 기타 매개 변수를 추출한 후 앱에 JSON 형식으로 반환합니다.

앱에서 토큰 교환 시작

앱에서 코드 응답을 수신합니다. 액세스 토큰을 가져오기 위해 앱이 /services/oauth2/token 끝점에 대한 헤드리스 POST 요청과 코드 교환을 시작합니다.

이 요청에는 머리글이 없습니다. 요청 본문에 다음 매개 변수를 포함하십시오.

토큰 요청 예제는 다음과 같습니다. 이 예에서는 PKCE를 사용합니다.

POST services/oauth2/token? HTTP 1.1
Host: MyExperienceCloudSite.my.site.com

code=********&
client_id=**********&
redirect_uri=https://MyExperienceCloudSite.my.site.com/services/oauth2/echo&
grant_type=authorization_code&
code_verifier=*******

Salesforce에서 액세스 토큰 부여

앱의 자격 증명 유효성을 검사한 후 Salesforce는 브라우저에 액세스 토큰을 반환합니다. 다음은 JSON 형식의 액세스 토큰 응답 예제입니다.

{
"access_token":"*******************",
"sfdc_community_url":"https://MyDomainName.my.site.com",
"sfdc_community_id":"0DBxxxxxxxxxxxx",
"signature":"ts6wm/svX3jXlCGR4uu+SbA04M6qhD1SAgVTEwZ59P4=",
"scope":"openid api",
"id_token":"XXXXXX",
"instance_url":"https://yourInstance.salesforce.com",
"id":"https://yourInstance.salesforce.com/id/00Dxxxxxxxxxxxx/005xxxxxxxxxxxx",
"token_type":"Bearer",
"issued_at":"1667600739962"
}

액세스 토큰 응답에는 다음의 매개 변수가 포함됩니다.

앱에서 사용자 세션 생성

브라우저에서 토큰 응답의 정보를 저장하고 사용자 세션을 만듭니다. 앱에서 Salesforce 사용자 정보 끝점을 호출하여 로그인에 성공했는지 확인합니다.

노트 액세스 토큰 저장소의 전체 보안 검토를 완료해야 합니다. 브라우저의 로컬 저장소에 액세스 토큰을 저장하지 말고 가능한 경우 쿠키에 저장하지 마십시오.

사용자가 로그인되고 앱에서 작업 수행

이제 최종 사용자가 로그인되며, 앱에서 Salesforce 데이터에 액세스해야 하는 작업을 수행합니다. 예를 들어 Salesforce에 저장되는 주문 내역에 액세스하기 위해 버튼을 클릭합니다.

노트 인가 코드 및 자격 증명 플로에 대한 외부 클라이언트 앱 또는 연결된 앱을 설정할 때 허용된 사용자 정책을 관리자 승인 사용자가 미리 인가됨으로 설정하고 앱에 액세스할 수 있는 프로필 또는 권한 집합을 구성합니다. 이 정책을 사용하면 사용자가 앱을 인가하지 않고 액세스하므로 앱이 사용자의 데이터에 액세스할 수 있게 허용하는 인가 화면 메시지가 나타나지 않습니다.

앱이 Salesforce 끝점에 인증된 호출 수행

사용자의 Salesforce 데이터에 액세스하기 위해 앱은 액세스 토큰을 사용하여 Salesforce API와 같은 보호된 Salesforce 끝점에 인증된 호출을 수행합니다.

사용자의 Salesforce 데이터 액세스 허용

이제 사용자가 앱에서 보호된 Salesforce 데이터에 액세스할 수 있습니다. 예를 들어 사용자는 자신의 주문 내역을 볼 수 있습니다. 사용자 관점에서 보면 로그인에서부터 자신의 데이터에 액세스에 이르기까지의 전체 프로세스가 앱을 벗어날 필요도 없이 이루어졌습니다.