无头身份 API：专用客户端的无头注册流

用户打开第三方应用程序并单击注册

用户打开您的应用程序并单击注册链接，或者单击链接访问需要注册的资源。

应用程序显示注册表单

在您的应用程序中，您可以在本机显示注册表单来收集用户数据。您可以控制有关此表单的全部内容，包括外观、感觉，以及您想要收集的用户信息。

关于您想从用户那里收集什么信息，有几个考虑因素。应用程序向无头注册 API 提交用户信息时，Salesforce 会检查电子邮件地址、用户名、姓氏和密码。您可以从用户那里收集这些信息或自动生成，但必须包含在 POST 请求中。在决定要包含哪些信息时，请确保收集电子邮件地址或电话号码，以便用户可以验证身份。

用户输入信息

在您的应用程序中，用户在注册表单中输入信息。

应用程序会将用户信息无头发送到无头注册 API

从浏览器中，您的应用程序会使用异步 Java 和 XML (AJAX) 向 Experience Cloud 站点上的无头注册端点发送 POST 请求 (/services/auth/headless/init/registration)。

在您的注册请求中包括这些标题。

在请求正文中包含这些参数。

以下是 POST 请求示例。在此示例中，Experience Cloud 设置被配置为需要身份验证和 reCAPTCHA，因此请求会包括访问令牌和 reCAPTCHA 令牌。

POST /services/auth/headless/init/registration? HTTP 1.1
Host: MyDomainName.my.site.com
Content-Type: application/json
Authorization: Bearer **************
{
 “userdata”: {
  “firstName”: “Janice”
   “lastName”: “Edwards”
   “email”: “janice.edwards@example.com”
   “username”: “jedwards@myapp.com”
    }
 “customdata”: {
   {”mobilePhone”=”<mobile phone number>”
   }
 “password”: “*******”
 “recaptcha”:”***********”
 “verificationmethod”: “email”
“emailtemplate”: “unfiled$public/SalesNewCustomerEmail”
}

Salesforce 接收信息并返回请求标识符

Salesforce 会收到用户信息。因为 Salesforce 尚未验证用户的身份，所以它会将此信息排队以待以后处理。

如果 POST 请求中的信息有效，Salesforce 会向应用程序返回成功消息。该消息包括注册请求标识符，这在流的后面很重要。以下是成功消息示例。

{
    "status": "success",
    "email": “jedwards@myapp.com”
    "identifier": “0RXXXXXXXX”
}

Salesforce 向用户发送一次性密码

Salesforce 收到用户数据并向应用程序发送成功消息后，会立即通过电子邮件或短信发送一次性密码 (OTP)，具体取决于用户的验证方法。

应用程序在本机显示验证表单

收到成功消息时，您会在应用程序中本机显示 OTP 验证表单。同样，验证体验的外观完全取决于您。

用户在验证表单中输入 OTP

用户通过电子邮件或短信收到 OTP，并在验证表单中输入。

应用程序初始化授权代码和凭据流

当用户证明他们的身份时，应用程序立即初始化授权代码和凭据流，并向无头登录 API 发出请求。

在授权请求中包含这些标题

在请求正文中包含这些参数。

以下是无头登录 API 的示例请求，包括 PKCE。

POST /services/oauth2/authorize? HTTP 1.1
Host: MyDomainName.my.site.com
Auth-Request-Type: user-registration
Auth-Verification-Type: email
Content-Type: application/x-www-form-urlencoded
Authorization: Basic <base64-encoded request ID:OTP>

response_type=code_credentials&
client_id=******&
redirect_uri=https://www.MyDomainName.my.site.com/services/apexrest/code/exchange&
code_challenge=Y29kZ*******

Salesforce 验证请求、检索用户数据并创建用户

Salesforce 接收授权请求，并验证请求 ID 和 OTP。Salesforce 使用此信息检索已排队的用户数据并调用在 Experience Cloud 站点中配置的无头注册处理器。Apex 处理器在 Salesforce 中创建用户，并将其链接到客户。

Salesforce 将 302 重定向返回到包含代码的预配置 URL

Salesforce 将 HTTP 302 重定向返回到包含授权代码的预配置 URL。302 重定向在浏览器中处理，响应被无头地传递到重定向 URL，这是服务器上预先配置的回调端点。以下是示例 URL。

https://www.MyDomainName.my.site.com/services/apexrest/code/exchange?code=aPrxC1*******
&sfdc_community_url=https%3A%2F%2FMyDomainName.my.site.com&sfdc_community_id=0DBxxxxxxxxxxxx

回调处理器提取代码并执行代码交换

服务器端回调处理器从 302 重定向中提取授权代码和其他参数。然后，通过向令牌端点发送无头 POST 请求，启动代码交换。

对于访问令牌请求，您只能使用 POST 请求 — 不支持 GET 请求。此请求没有必填标题，但您可以包含Content-Type标题。

在请求正文中包含这些参数。

以下是令牌请求示例。

POST /services/oauth2/token HTTP 1.1
Host: MyDomainName.my.site.com
Content-Type: application/x-www-form-urlencoded

grant_type=authorization_code&
code=aPrxC1*******&
client_id=******&
client_secret=******&
redirect_uri=https://www.MyExperienceCloudSite.my.site.com/services/apexrest/code/exchange&
code_verifier=Y29kZ*******

Salesforce 授予访问标记

Salesforce 验证令牌请求，并向服务器端回调处理器返回访问令牌响应。以下是 JSON 格式的访问标记响应示例。

{
"access_token":"*******************",
"sfdc_community_url":"https://MyDomainName.my.site.com",
"sfdc_community_id":"0DBxxxxxxxxxxxx",
"signature":"ts6wm/svX3jXlCGR4uu+SbA04M6qhD1SAgVTEwZ59P4=",
"scope":"openid api",
"id_token":"XXXXXX",
"instance_url":"https://yourInstance.salesforce.com",
"id":"https://yourInstance.salesforce.com/id/00Dxxxxxxxxxxxx/005xxxxxxxxxxxx",
"token_type":"Bearer",
"issued_at":"1667600739962"
}

访问标记响应包含这些参数。

回调处理器处理令牌响应并将参数返回给应用程序

服务器端回调处理器从响应中获取访问令牌。服务器端回调处理器然后向浏览器返回访问令牌和状态，以及用户数据、令牌和会话数据。作为最佳实践，我们建议您配置服务器以存储访问令牌，为应用程序创建会话，并将会话返回到应用程序，而不是返回访问令牌。作为开发人员，您拥有创建会话、存储访问令牌和管理登录状态的完全控制，因此您的具体实施取决于您。

{"success":true,"state":"https://MyExperienceCloudSite.my.site.com/","errMsg":null,"access_token":"00*******"}

应用程序处理令牌响应并创建用户会话

应用程序会收到令牌响应，处理它，并创建用户会话。

用户已注册，并在应用程序中执行操作

用户现在已经注册并登录。他们在您的应用程序中执行需要访问 Salesforce 数据的操作。例如，他们单击按钮来查看他们的旅行预订历史，该历史存储在 Salesforce 中。

备注 在您为授权代码和凭据流设置连接的应用程序或外部客户端应用程序时，您可将允许用户策略设置为管理员批准的用户已预授权，并配置哪些简档或权限集可以访问应用程序。通过该策略，用户无需授权即可访问应用程序，因此他们不会看到授权屏幕提示他们让应用程序访问他们的数据。

应用程序对 Salesforce 端点进行身份验证调用

要访问用户的 Salesforce 数据，您的应用程序使用访问标记对受保护的 Salesforce 端点进行身份验证调用，例如 Salesforce API。

用户可以访问 Salesforce 数据

用户现在可以在您的应用程序中访问受保护的 Salesforce 数据。例如，他们可以看到他们的旅行预订历史。