适用于服务器到服务器集成的 OAuth 2.0 客户端凭据流

请求访问标记

让我们深入了解通过客户端凭据流获取访问标记的过程。

为了启动流，外部客户端应用程序将其客户端凭据发布到 Salesforce 令牌端点。您可以将客户端凭据作为参数包含在请求正文中。或者，为了增加安全性，请将客户端凭据放入基本授权标题中。

重要 在开发 OAuth 集成时，请始终在 POST 请求的正文或请求标题中传递敏感信息。不要在 URL 查询字符串中使用 GET 参数来传递敏感信息。敏感信息包括但不限于用户名、密码、OAuth 令牌、客户端密码和任何个人身份信息。有关安全最佳实践的更多信息，请查看安全编码指南中的存储敏感数据。

以下是请求正文中包含客户端凭据的示例 POST 请求。

POST /services/oauth2/token HTTP/1.1
Host: MyDomainName.my.salesforce.com
grant_type=client_credentials&
client_id=*******************&
client_secret=*******************

对于此流，不支持对 https://login.salesforce.com 和 https://test.salesforce.com 的请求。请改用 My Domain URL。要查找 My Domain URL，从“设置”中，在快速查找框中输入 My Domain，然后选择 My Domain。

请求中必须包含这些参数。

以下是基本授权标题中客户端凭据的示例。使用此格式，client_id会以格式 client_id:client_secret 附加到client_secret，结果值为 Base64 编码。

POST /services/oauth2/token HTTP/1.1
Host: MyDomainName.my.salesforce.com
Header: Authorization: Basic 
TXlDbGllbnRJRDpNeUNsaWVudFNlY3JldA==
grant_type=client_credentials

如果您使用此格式，grant_type 是请求正文中唯一必需的参数。grant_type必须设置为 client_credentials。

备注 由于 Salesforce 不支持令牌端点的范围，因此您不能在请求中包含范围。相反，将范围分配给外部客户端应用程序。

Salesforce 授予访问标记

验证客户端凭据后，Salesforce 返回包含访问标记和请求范围的响应。应用程序可以使用访问标记访问 Salesforce 中的受保护数据。

{
    "access_token": "*******************",
    "instance_url": "https://yourInstance.salesforce.com",
    "id": "https://login.salesforce.com/id/XXXXXXXXXXXXXXXXXX/XXXXXXXXXXXXXXXXXX",
    "token_type": "Bearer",
    "scope": "id api",
    "issued_at": "1657741493799",
    "signature": "c2lnbmF0dXJl"
}

这些参数包含在响应中。