Headless Identity API: Поток регистрации без заголовка для общедоступных клиентов

Пользователь открывает стороннее приложение и нажимает кнопку «Зарегистрировать»

Пользователь открывает приложение и нажимает на ссылку на регистрацию, либо он нажимает на ссылку для доступа к ресурсу, требующему регистрации.

Ваше приложение отображает форму регистрации

В приложении нативно отображается форма регистрации для сбора данных пользователей. Вы управляете всем, что касается этой формы, включая ее внешний вид, внешний вид и сведения о пользователе, которые хотите собрать.

Ниже перечислены некоторые рекомендации по сбору сведений от пользователей. Когда приложение отправляет сведения о пользователе в Headless Registration API, Salesforce проверяет электронный адрес, имя пользователя, фамилию и пароль. Эти сведения можно собрать у пользователей или создать автоматически, но они должны быть добавлены в запрос POST. Принимая решение о добавлении сведений, обязательно соберите электронный адрес или номер телефона, чтобы пользователь мог проверить подлинность.

Пользователь вводит свои сведения

В приложении пользователь вводит свои сведения в форму регистрации.

Ваше приложение отправляет сведения о пользователе в Headless Registration API

В обозревателе приложение отправляет запрос POST без заголовка в конечную точку регистрации без заголовка (/services/auth/headless/init/registration) на сайте Experience Cloud посредством асинхронного Java и XML (AJAX).

Этот заголовок можно добавить в запрос на регистрацию.

Примечание При настройке параметров Experience Cloud для этого потока отображается параметр «Требовать проверку подлинности для доступа к этому API». Если этот параметр включен, запрос на регистрацию должен содержать маркер доступа, выданный пользователю интеграции, в заголовке авторизации. Рекомендуем не включать этот параметр для приложений на одной странице, поскольку они не могут хранить секрет информации. Вместо этого всегда включайте параметр «Требовать reCAPTCHA для доступа к этому API».

Добавьте следующие параметры в текст запроса.

Ниже указан пример запроса POST.

POST /services/auth/headless/init/registration? HTTP 1.1
Host: MyExperienceCloudSiteName.my.site.com
Content-Type: application/json

{
 “userdata”: {
  “firstName”: “Janice”
   “lastName”: “Edwards”
   “email”: “janice.edwards@example.com”
   “username”: “jedwards@myapp.com”
    }
 “customdata”: {
   {”mobilePhone”=”<mobile phone number>”
   }
 “password”: “*******”
 “recaptcha”:”***********”
 “verificationmethod”: “email”
 “emailtemplate”: “unfiled$public/SalesNewCustomerEmail”
}

Salesforce получает сведения и возвращает идентификатор запроса

Salesforce получает сведения о пользователе. Поскольку Salesforce еще не подтвердил подлинность пользователя, он еще ничего не делает со сведениями о пользователе. Вместо этого Salesforce ставит эти сведения в очередь для последующей обработки.

Если информация в запросе POST действительна, Salesforce возвращает сообщение об успешном выполнении в приложение. Это сообщение содержит идентификатор запроса на регистрацию, который важен позже в потоке. Ниже указан пример сообщения об успешном выполнении.

{
    "status": "success",
    "email": “jedwards@myapp.com”
    "identifier": “0RXXXXXXXX”
}

Salesforce отправляет одноразовый пароль пользователю

Сразу после получения данных пользователя и отправки сообщения об успешном выполнении Salesforce отправляет одноразовый пароль (OTP) по электронной почте или SMS-сообщению, в зависимости от метода проверки пользователя.

Ваше приложение нативно отображает форму проверки

При получении сообщения об успешном выполнении вы нативно отображаете форму проверки ОТП в приложении. Опять же, внешний вид и ощущения проверочного взаимодействия зависят только от вас.

Пользователь вводит ОТП в форму проверки

Пользователь получает ОТП по электронной почте или SMS-сообщением и вводит его в форму проверки.

Ваше приложение инициализирует код авторизации и поток регистрационных данных

Когда пользователь подтверждает свою личность, приложение немедленно инициализирует код авторизации и поток регистрационных данных с запросом Headless Login API.

Добавьте следующие заголовки в запрос авторизации.

Добавьте следующие параметры в текст запроса.

Ниже указан пример запроса к конечной точке авторизации. Данный пример включает PKCE.

POST /services/oauth2/authorize? HTTP 1.1
Host: MyExperienceCloudSiteName.my.site.com
Auth-Request-Type: user-registration
Auth-Verification-Type: email
Authorization: Basic <base64-encoded request ID:OTP>

reponse_type=code_credentials&
client_id=******&
redirect_uri=https://www.MyExperienceCloudSite.my.site.com/services/oauth2/echon&
code_challenge=Y29kZ*******

Salesforce проверяет запрос, извлекает данные пользователя и создает пользователя

Salesforce получает запрос авторизации и проверяет код запроса и ОТП. Salesforce использует эту информацию для извлечения данных пользователя в очереди и вызова средства обработки регистрации без заголовка, настроенного на сайте Experience Cloud. Обработчик Apex создает пользователя в Salesforce и связывает его с организацией.

Salesforce проверяет регистрационные данные и возвращает переадресацию 302 в конечную точку обратного вызова

Salesforce возвращает переадресацию HTTP 302 на готовый URL-адрес, содержащий код авторизации. Если поток происходит в обозревателе, переадресация 302 обрабатывается в обозревателе. Salesforce потом автоматически отправляет ответ переадресации на URL-адрес переадресации, который указывает на конечную точку обратного вызова /services/oauth2/echo в примерах кода ниже. Во время этого процесса обозреватель не перенаправляется - все происходит фоном.

Ниже указан пример URL-адреса, получаемого конечной точкой обратного эхо-вызова.

https://MyExperienceCloudSite.my.site.com/services/oauth2/echo?code=aPrxr*******%3D%3D&state=mystate&sfdc_community_url=https%3A%2F%2FMyExperienceCloudSite.my.site.com%&sfdc_community_id=0DBRXXXXXXXXX

Конечная точка обратного вызова извлекает код и возвращает его в приложение

Конечная точка обратного вызова извлекает код авторизации и другие данные и отправляет эти сведения обратно в приложение. Ниже указан пример ответа JSON из конечной точки эха.

{"code":"aPrxr*******",
"sfdc_community_url":"https://MyExperienceCloudSite.my.site.com",
"sfdc_community_id":"0DBRXXXXXXXXX",
"state":"mystate"}

Приложение получает ответ кода и выполняет обмен кодом

{"success":true,"state":"https://MyExperienceCloudSite.my.site.com/","sfdc_community_url":"https://MyExperienceCloudSite.my.site.com/vforcesite","sfdc_community_id":"0DBxxxxxxxxxxxx","errMsg":null,"code":"aPrxC1*******"}

Обозреватель без заголовка запрашивает обмен кода на маркер доступа.

Во избежание открытия секрета пользователя обозревателю, необходимо отключить параметры «Требовать секрет для процесса веб-сервера» и «Требовать секрет для процесса проверки подлинности маркера обновления» в связанном приложении или приложении внешнего клиента. Если эти параметры отключены, секрет пользователя не обязателен в запросе на авторизацию. При возможности рекомендуем выполнить обмен кодами посредством серверного сервера. См. Headless Identity API: Код авторизации и поток регистрационных данных для частных клиентов.

Для запроса маркера доступа можно использовать только запрос POST — запросы GET не поддерживаются. Обязательных заголовков для этого запроса нет, но вы можете добавить заголовок Content-Type.

Добавьте следующие параметры в текст запроса.

Ниже указан пример запроса маркера.

POST /services/oauth2/token? HTTP 1.1
Host: MyExperienceCloudSiteName.my.site.com

grant_type=authorization_code&
code=aPrxC1*******&
client_id=******&
redirect_uri=https://www.MyExperienceCloudSite.my.site.com//services/oauth2/echo&
code_verifier=Y29kZ*******

Salesforce предоставляет маркер доступа

{
"access_token":"*******************",
"sfdc_community_url":"https://MyExperienceCloudSiteName.my.site.com",
"sfdc_community_id":"0DBxxxxxxxxxxxx",
"signature":"ts6wm/svX3jXlCGR4uu+SbA04M6qhD1SAgVTEwZ59P4=",
"scope":"openid api",
"id_token":"XXXXXX",
"instance_url":"https://yourInstance.salesforce.com",
"id":"https://yourInstance.salesforce.com/id/00Dxxxxxxxxxxxx/005xxxxxxxxxxxx",
"token_type":"Bearer",
"issued_at":"1667600739962"
}

Ответ маркера доступа содержит следующие параметры.

Приложение обрабатывает ответ маркера и создает сеанс пользователя

Обозреватель сохраняет сведения из ответа маркера и создает сеанс пользователя. На этом этапе пользователь входит в систему, и ваше приложение вызывает конечную точку сведений о пользователе Salesforce для подтверждения успешного входа.

Примечание Убедитесь в выполнении полной проверки безопасности хранилища маркеров доступа. Не сохраняйте маркер доступа в локальном хранилище обозревателя и избегайте его сохранения в cookie-файле, если возможно.

Пользователь зарегистрирован и выполняет действие в приложении

Пользователь теперь полностью зарегистрирован и вошедший. Он выполняет в вашем приложении действие, требующее доступа к данным Salesforce. Например, они нажимают кнопку для просмотра журнала бронирования, хранящегося в Salesforce.

Примечание При настройке связанного приложения или приложения внешнего клиента для кода авторизации и потока регистрационных данных вы устанавливаете политику «Разрешенные пользователи» на «Пользователи, допущенные администратором предварительно авторизованы» и настраиваете, какие профили или наборы полномочий имеют доступ к приложению. С помощью этой политики пользователи открывают приложение без авторизации, поэтому они не получают экран авторизации, предлагающий предоставить приложению доступ к их данным.

Приложение выполняет проверенный вызов конечной точки Salesforce

Чтобы получить доступ к данным Salesforce пользователя, приложение использует маркер доступа для осуществления проверенного вызова защищенной конечной точки Salesforce, например, Salesforce API.

Доступ пользователя к данным Salesforce

Пользователь теперь имеет доступ к защищенным данным Salesforce в вашем приложении. Например, они могут просмотреть журнал бронирования. С точки зрения пользователя, весь процесс от входа до доступа к данным происходил без необходимости выхода из приложения.