无头身份 API：公共客户端的无头注册流

用户打开第三方应用程序并单击注册

用户打开您的应用程序并单击注册链接，或者单击链接访问需要注册的资源。

应用程序显示注册表单

在您的应用程序中，您可以在本机显示注册表单来收集用户数据。您可以控制有关此表格的全部内容，包括外观、感觉，以及您想要收集的用户信息。

关于您想从用户那里收集什么信息，有几个考虑因素。应用程序向无头注册 API 提交用户信息时，Salesforce 会检查电子邮件地址、用户名、姓氏和密码。您可以从用户那里收集这些信息或自动生成，但必须包含在 POST 请求中。在决定要包含哪些信息时，请确保收集电子邮件地址或电话号码，以便用户可以验证身份。

用户输入信息

在您的应用程序中，用户在注册表单中输入信息。

应用程序会将用户信息无头发送到无头注册 API

从浏览器中，应用程序会使用异步 Java 和 XML (AJAX) 向 Experience Cloud 站点上的无头注册端点发送无头 POST 请求 (/services/auth/headless/init/registration)。

您可在注册请求中包含此标题。

备注 在为该流配置 Experience Cloud 设置时，您会看到“需要身份验证，才可以访问此 API”设置。启用此设置后，您的注册请求必须在授权标题中包含向集成用户颁发的访问令牌。我们建议您永远不要为单页面应用程序启用此设置，因为它们无法对信息保密。相反，始终启用需要 reCAPTCHA 才能访问此 API。

在请求正文中包含这些参数。

以下是 POST 请求示例。

POST /services/auth/headless/init/registration? HTTP 1.1
Host: MyExperienceCloudSiteName.my.site.com
Content-Type: application/json

{
 “userdata”: {
  “firstName”: “Janice”
   “lastName”: “Edwards”
   “email”: “janice.edwards@example.com”
   “username”: “jedwards@myapp.com”
    }
 “customdata”: {
   {”mobilePhone”=”<mobile phone number>”
   }
 “password”: “*******”
 “recaptcha”:”***********”
 “verificationmethod”: “email”
 “emailtemplate”: “unfiled$public/SalesNewCustomerEmail”
}

Salesforce 接收信息并返回请求标识符

Salesforce 会收到用户信息。由于 Salesforce 尚未验证用户身份，因此不会对用户信息执行任何操作。相反，Salesforce 会将此信息排队，以稍后处理。

如果 POST 请求中的信息有效，Salesforce 会向应用程序返回成功消息。该消息包括注册请求标识符，这在流的后面很重要。以下是成功消息示例。

{
    "status": "success",
    "email": “jedwards@myapp.com”
    "identifier": “0RXXXXXXXX”
}

Salesforce 向用户发送一次性密码

Salesforce 收到用户数据并向应用程序发送成功消息后，会立即通过电子邮件或短信发送一次性密码 (OTP)，具体取决于用户的验证方法。

应用程序在本机显示验证表单

收到成功消息时，您会在应用程序中本机显示 OTP 验证表单。同样，验证体验的外观完全取决于您。

用户在验证表单中输入 OTP

用户通过电子邮件或短信收到 OTP，并在验证表单中输入。

应用程序初始化授权代码和凭据流

当用户证明他们的身份时，应用程序立即初始化授权代码和凭据流，并向无头登录 API 发出请求。

在授权请求中包含这些标题。

在请求正文中包含这些参数。

以下是授权端点的示例请求。此示例包含 PKCE。

POST /services/oauth2/authorize? HTTP 1.1
Host: MyExperienceCloudSiteName.my.site.com
Auth-Request-Type: user-registration
Auth-Verification-Type: email
Authorization: Basic <base64-encoded request ID:OTP>

reponse_type=code_credentials&
client_id=******&
redirect_uri=https://www.MyExperienceCloudSite.my.site.com/services/oauth2/echon&
code_challenge=Y29kZ*******

Salesforce 验证请求、检索用户数据并创建用户

Salesforce 接收授权请求，并验证请求 ID 和 OTP。Salesforce 使用此信息检索已排队的用户数据并调用在 Experience Cloud 站点中配置的无头注册处理器。Apex 处理器在 Salesforce 中创建用户，并将其链接到客户。

Salesforce 验证凭据并返回 302 重定向到回调端点

Salesforce 将 HTTP 302 重定向返回到包含授权代码的预配置 URL。如果流发生在浏览器中，则在浏览器中处理 302 重定向。然后，Salesforce 会自动将重定向响应发送到重定向 URL，该 URL 会指向这些代码示例中的 /services/oauth2/echo 回调端点。在此过程中，浏览器不会重定向 — 所有事情都会在后台发生。

以下是 Echo 回调端点收到的示例 URL。

https://MyExperienceCloudSite.my.site.com/services/oauth2/echo?code=aPrxr*******%3D%3D&state=mystate&sfdc_community_url=https%3A%2F%2FMyExperienceCloudSite.my.site.com%&sfdc_community_id=0DBRXXXXXXXXX

回调端点提取代码并将其返回到应用程序

回调端点提取授权代码和其他数据，并将此信息发送回应用程序。以下是来自 Echo 端点的 JSON 响应示例。

{"code":"aPrxr*******",
"sfdc_community_url":"https://MyExperienceCloudSite.my.site.com",
"sfdc_community_id":"0DBRXXXXXXXXX",
"state":"mystate"}

应用程序收到代码响应并执行代码交换

{"success":true,"state":"https://MyExperienceCloudSite.my.site.com/","sfdc_community_url":"https://MyExperienceCloudSite.my.site.com/vforcesite","sfdc_community_id":"0DBxxxxxxxxxxxx","errMsg":null,"code":"aPrxC1*******"}

浏览器无头请求交换代码以获取访问令牌。

为避免向浏览器公开使用者密码，您必须在连接的应用程序或外部客户端应用程序上禁用“需要 Web 服务器流的密码”和“需要刷新令牌流的密码”设置。禁用这些设置后，授权请求中不需要使用者密码。如果可能，我们建议您使用服务器后端执行代码交换。请参阅无头身份 API：专用客户端的授权代码和凭据流。

对于访问令牌请求，您只能使用 POST 请求 — 不支持 GET 请求。此请求没有必填标题，但您可以包含Content-Type标题。

在请求正文中包含这些参数。

以下是令牌请求示例。

POST /services/oauth2/token? HTTP 1.1
Host: MyExperienceCloudSiteName.my.site.com

grant_type=authorization_code&
code=aPrxC1*******&
client_id=******&
redirect_uri=https://www.MyExperienceCloudSite.my.site.com//services/oauth2/echo&
code_verifier=Y29kZ*******

Salesforce 授予访问标记

{
"access_token":"*******************",
"sfdc_community_url":"https://MyExperienceCloudSiteName.my.site.com",
"sfdc_community_id":"0DBxxxxxxxxxxxx",
"signature":"ts6wm/svX3jXlCGR4uu+SbA04M6qhD1SAgVTEwZ59P4=",
"scope":"openid api",
"id_token":"XXXXXX",
"instance_url":"https://yourInstance.salesforce.com",
"id":"https://yourInstance.salesforce.com/id/00Dxxxxxxxxxxxx/005xxxxxxxxxxxx",
"token_type":"Bearer",
"issued_at":"1667600739962"
}

访问标记响应包含这些参数。

应用程序处理令牌响应并创建用户会话

浏览器存储来自令牌响应的信息，并创建用户会话。此时，用户已登录，应用程序调用 Salesforce 用户信息端点来确认登录成功。

备注 确保您对访问令牌存储进行完全安全审查。永远不要将访问令牌存储在浏览器的本地存储中，并且尽可能避免将其存储在 Cookie 中。

用户已注册，并在应用程序中执行操作

用户现在已经完全注册并登录。他们在您的应用程序中执行需要访问 Salesforce 数据的操作。例如，他们单击按钮来查看他们的旅行预订历史，该历史存储在 Salesforce 中。

备注 在您为授权代码和凭据流设置连接的应用程序或外部客户端应用程序时，您可将允许用户策略设置为管理员批准的用户已预授权，并配置哪些简档或权限集可以访问应用程序。通过该策略，用户无需授权即可访问应用程序，因此他们不会看到授权屏幕提示他们让应用程序访问他们的数据。

应用程序对 Salesforce 端点进行身份验证调用

要访问用户的 Salesforce 数据，您的应用程序使用访问标记对受保护的 Salesforce 端点进行身份验证调用，例如 Salesforce API。

用户可以访问 Salesforce 数据

用户现在可以在您的应用程序中访问受保护的 Salesforce 数据。例如，他们可以看到他们的旅行预订历史。从用户的角度来看，从登录到访问他们的数据的整个过程都不需要他们离开应用程序。