无头身份 API：公共客户端的无头无密码登录流

最终用户为登录输入电子邮件地址或电话号码

该流将在最终用户访问您的应用程序时启动。您的应用程序会本地显示登录表单，只要求用户的电子邮件地址或电话号码。或者，如果您正在使用根据订单号等不同标识符查找用户的无头用户发现处理器，应用程序可以显示登录表单，提示用户输入标识符。最终用户输入信息并单击按钮登录。

应用程序查找用户名

如果您未使用无头用户发现处理器，应用程序会查找用户的电子邮件地址或电话号码，并查找关联的用户名。

如果您正在使用无头用户发现处理器，应用程序会跳过此步骤。处理程序会在您提交初始请求后查找用户。

应用程序向无头无密码登录 API 发送请求

从浏览器中，应用程序会将无头 POST 请求发送到 Experience Cloud 站点上的无头无密码登录端点 (services/auth/headless/init/passwordless/login)。

在请求正文中包含这些参数。

下面是一个对无头无密码登录 API 的请求示例。此请求适用于不使用无头用户发现处理器的实施。

POST /services/auth/headless/init/passwordless/login? HTTP 1.1
Host: MyExperienceCloudSite.my.site.com
{
 "verificationmethod": "email",
"username": "janice.edwards@example.com",
"recaptcha": "***********",
"emailtemplate": "unfiled$public/SalesNewCustomerEmail"
}

如果您正在使用无头用户发现处理器，以下是请求示例。

POST /services/auth/headless/init/passwordless/login? HTTP 1.1
Host: MyExperienceCloudSite.my.site.com
{
 "verificationmethod": "email",
"login_hint": "<user identifier such as email address, phone number, order number>",
"recaptcha": "***********",
"emailtemplate": "unfiled$public/SalesNewCustomerEmail"
}

（可选）无头用户发现处理器查找用户

如果您正在使用无头用户发现处理器，处理器会获取 login_hint 参数并查找关联用户。处理程序确认用户的电子邮件地址或电话号码已验证。

有关示例处理程序，请参见 Auth.HeadlessUserDiscoveryHandler。

Salesforce 向您的应用程序返回请求标识符

如果请求成功，Salesforce 会发送回包含请求identifier的成功消息，这在流的后面交换访问令牌时很重要。以下是成功消息示例。

{
    "status”: "success",
    "email": "jedwards@example.com",
    "identifier": “0RXXXXXXXX”
}

Salesforce 向用户发送 OTP

在 Salesforce 向您的应用程序发送请求标识符后，它还会立即向用户发送包含 OTP 的电子邮件或短信文本消息。

您的应用程序会显示验证表单

在应用程序中，您将本地显示验证表单，用户可在其中输入 OTP。

最终用户输入 OTP

最终用户通过电子邮件或短信收到 OTP，并在应用程序的验证表单中输入。

应用程序会为 PKCE 生成参数

如果您正在使用 PKCE 扩展(我们强烈建议 ) , 应用程序会生成code_verifier和code_challenge参数。

RFC 7636 中定义的 PKCE 规范还包括您可以在授权请求中发送的可选code_challenge_method参数。Salesforce 忽略您在此参数中发送的任何值，并默认设置为 SHA256。

应用程序向授权端点发送请求

一旦用户通过输入 OTP 验证了他们的身份，应用程序就会初始化授权代码和凭据流，并向授权端点发出请求，在那里用请求 ID 和 OTP 交换授权代码。

在授权请求中包含这些标题。

在请求正文中包含这些参数。

以下是授权端点的示例请求。此示例包含 PKCE。

POST /services/oauth2/authorize? HTTP 1.1
Host: MyExperienceCloudSite.my.site.com
Auth-Request-Type: passwordless-login
Auth-Verification-Type: email
Authorization: Basic <base64-encoded identifier:OTP

response_type=code_credentials&
client_id=***********&
redirect_uri=https://www.MyExperienceCloudSite.my.site.com/services/oauth2/echo&
code_challenge=********

Salesforce 验证请求并返回 302 重定向

当请求到达授权端点时，Salesforce 验证请求标识符和 OTP。然后，Salesforce 将 HTTP 302 重定向返回到包含授权代码的预配置 URL。如果流在浏览器中发生，302 重定向将在浏览器中处理，并且 Salesforce 会自动将重定向响应发送到重定向 URL，即回调端点。这是一个预配置 URL 的例子。

https://www.MyDomainName.my.site.com/services/apexrest/code/exchange?code=aPrxC1*******
&sfdc_community_url=https%3A%2F%2FMyDomainName.my.site.com&sfdc_community_id=0DBxxxxxxxxxxxx

回调端点向您的应用程序发送授权代码

回调端点提取授权代码并将其返回到您的应用程序。在这些代码示例中，重定向 URL 指向 Experience Cloud 站点上的 /services/oauth2/echo 回调端点。该端点自动解析 302 重定向，提取授权代码和其他参数，并以 JSON 格式返回给应用程序。

应用程序启动令牌交换

应用程序会收到代码响应。要获取访问令牌，应用程序通过向/services/oauth2/token端点发送无头 POST 请求来启动代码交换。

该请求没有标题。在请求正文中包含这些参数。

以下是令牌请求示例。此示例使用 PKCE。

POST services/oauth2/token? HTTP 1.1
Host: MyExperienceCloudSite.my.site.com

code=********&
client_id=**********&
redirect_uri=https://MyExperienceCloudSite.my.site.com/services/oauth2/echo&
grant_type=authorization_code&
code_verifier=*******

Salesforce 授予访问令牌

验证应用程序的凭据后。Salesforce 向浏览器返回访问令牌。以下是 JSON 格式的访问令牌响应示例。

{
"access_token":"*******************",
"sfdc_community_url":"https://MyDomainName.my.site.com",
"sfdc_community_id":"0DBxxxxxxxxxxxx",
"signature":"ts6wm/svX3jXlCGR4uu+SbA04M6qhD1SAgVTEwZ59P4=",
"scope":"openid api",
"id_token":"XXXXXX",
"instance_url":"https://yourInstance.salesforce.com",
"id":"https://yourInstance.salesforce.com/id/00Dxxxxxxxxxxxx/005xxxxxxxxxxxx",
"token_type":"Bearer",
"issued_at":"1667600739962"
}

访问令牌响应包含这些参数。

应用程序创建用户会话

浏览器存储来自令牌响应的信息，并创建用户会话。应用程序会调用 Salesforce 用户信息端点，以确认登录成功。

备注 确保您对访问令牌存储进行完全安全审查。永远不要将访问令牌存储在浏览器的本地存储中，并且尽可能避免将其存储在 Cookie 中。

用户已登录并在应用程序中执行操作

最终用户现在已登录，他们在您的应用程序中执行需要访问 Salesforce 数据的操作。例如，他们单击按钮来查看他们的订单历史，该历史存储在 Salesforce 中。

备注 在您为授权代码和凭据流设置外部客户端应用程序或连接的应用程序时，您可将允许用户策略设置为管理员批准的用户已预授权，并配置哪些简档或权限集可以访问应用程序。通过该策略，用户无需授权即可访问应用程序，因此他们不会看到授权屏幕提示他们让应用程序访问他们的数据。

应用程序对 Salesforce 端点进行身份验证调用

要访问用户的 Salesforce 数据，您的应用程序使用访问标记对受保护的 Salesforce 端点进行身份验证调用，例如 Salesforce API。

用户可以访问 Salesforce 数据

用户现在可以在您的应用程序中访问受保护的 Salesforce 数据。例如，他们可以查看他们的订单历史。从用户的角度来看，从登录到访问他们的数据的整个过程都不需要他们离开应用程序。