OAuth 外部 URL 和认证 URL

• 对资源所有者进行认证时，需要将有关接受认证的资源所有者的元数据存储在访问令牌中。
• 用于获取令牌的授权类型同样是访问令牌中存储的元数据的示例。
• 需要随访问令牌一起发送至客户机应用程序的确认代码作为元数据存储在访问令牌内。

• 外部 URL - 当您调用外部 URL 时，系统会发送一个 HTTP GET 请求，并 API Connect 期望收到 HTTP 200 OK 状态码，同时可选地包含一组指定的响应头。
• 身份验证 URL - 当您调用身份验证 URL 时 API Connect ，网关会发送一个包含 HTTP 头部的 GET 请求，然后处理来自 URL 的任何 HTTP 响应。 对于认证，预计在认证 URL 处提供 REST 认证服务。

  参见： 身份验证 URL。

• DataPower® API Gateway:

  X-API-OAUTH-METADATA-FOR-PAYLOAD

  X-API-OAUTH-METADATA-FOR-ACCESSTOKEN

  注意： 前面的标题是 OAuth 提供程序的默认标题名称， DataPower API Gateway 但您可以覆盖它们，请参阅《配置原生提供程序的元数据》。
• DataPower Gateway (v5 compatible):

  API-OAUTH-METADATA-FOR-PAYLOAD

  API-OAUTH-METADATA-FOR-ACCESSTOKEN

{
"token_type":  "bearer",
"access_token":  "AAEkNzhjDHYyyYy...cL0Mv6ctl37w7ZU",
"metadata":  "m:metadata-for-payload_content"
"expires_in":  3600,
"scope":  "read",
"refresh_token":  "AAEnj5SynCMybF...oEZ6JjxYax_HdNg",
}

{
"active":  true,
"token_type":  "bearer",
"client_id":  "78c2f10f-799a-4e1f-8e0a-098634997a35",
"username":  "Fred Smith",
"sub":  "fred",
"exp":  1479850049,
"expstr":  "2016-11-22T21:27:29Z",
"iat":  1479846449,
"nbf":  1479846449,
"nbfstr":  2016-11-22T20:27:29Z",
"scope":  "read",
"miscinfo":  "m:metadata-for-accesstoken_content",
"client_name":  "MobileApp"
}

X-existing-metadata-for-payload     payload-from-auth-url
X-existing-metadata-for-access-token     token-from-auth-url
X-URI-in     /org/env/miscinfo/oauth2/token (the URL that was sent to APIConnect for this particular token request)
X-METHOD-in     POST
X-POST-Body-in     client_id=client_id&grant_type=password&scope=read&username=name&password=password
X-X-Client-IP     IP_address
X-X-Global-Transaction-ID     ID_number
...

apim.setvariable('message.body',apim.getvariable('oauth.miscinfo'));

授权代码授权类型

• 在三步授权码流程中，来自身份验证 URL 的元数据会被存储在 dp-state 并传递至授权码和访问令牌。 在存储于. dp-state文件时，系统会使用大约10个字符来区分有效负载的元数据和访问令牌的元数据。 此外，如果启用了撤销功能，该信息也会作为令牌元数据的一部分。 令牌元数据、有效载荷元数据（包括内部数据）以及内部撤销详细信息的总大小不得超过 512 字节。

  如果元数据的总体大小超过 512 字节，那么访问令牌生成成功，但元数据字段包含错误消息 "metadata too large" 如示例中所示。

  "metadata":"m:error: metadata too large for AZ code grant type[Authorization Code-metadata-url-payload]"
  "miscinfo":"[r:gateway]m:error: metadata too large for AZ code grant type[Authorization Code-metadata-url-token]"

  当元数据是从元数据端点（ URL ）而非认证端点（ URL ）发送时，该大小限制不适用，因为元数据并未存储在授权 dp-state 码中。

  authorization code (access code) 授权类型的示例:

   $ curl -k -d
  "grant_type=authorization_code&code=$mycode&client_id=$myid&scope=scope_introspect&redirect_uri=" https://9.70.153.90/fei/sb/introspectp1/oauth2/token
  { "token_type":"bearer",
  "access_token":"AAEkOThlZDhhNjYtYTQ1ZS00YTMzLWE0N2QtZmE2OGZkMzQ0NzQ20ZN5Tl_TqYFeIfB7BFf6HFgibEoOjWXXEA84oFsWuE4NY-RRZVdnGSaXAIYJz7s5vczfk5EV-BIb_6P_1YKm3ahrfhR5kI3sPO0uADEoseIP5-O9anUpEM5yhsayXvZbJ_6VDYz-hyXSJHTNqVj-PHBialoRkBD5qca6kO0fV2M", "metadata":"a:[Authorization Code-Test-auth-url-payload]", "expires_in":3600, "scope":"scope_introspect", "refresh_token":"AAFAg1EVMbwicr_L0fTZ4q6HZ-RcQygniXFC9zbSKO4wd3hcniC4KQX21X0fL2c8cnmzCZgws8xxLzNyfjQhUJNGl5C1GbIe3dwhXJdiWA0Go-dduhVtCbG26sJRRXyYrMeRxWnJsylBETPI8HQEN4a_D7fmxKcTVRZBvq86byg95qe1ZKyERi0Lhxdd_O4Nvss" }
  
  
  $ curl -k -H "X-IBM-Client-Id: $myid" -H "X-IBM-Client-Secret: $mysecret" -d "token_type_hint=access_token&token=$mytoken" https://9.70.153.90/fei/sb/introspectp1/oauth2/introspect
  { "active":true, "token_type":"bearer", "client_id":"98ed8a66-a45e-4a33-a47d-fa68fd344746", "username":"anyuser", "sub":"anyuser", "exp":1484766368, "expstr":"2017-01-18T19:06:08Z", "iat":1484762768, "nbf":1484762768, "nbfstr":"2017-01-18T18:06:08Z", "scope":"scope_introspect", "miscinfo":"[r:gateway]a:[Authorization Code-Test-auth-url-token]", "client_name":"oauth_app" }

隐式授权类型

• 使用隐式授权类型时，在 location 头中将访问令牌和元数据作为片段返回，如以下示例所示。

  < Location:
   https://localhost#access_token=AAEkOThlZDhhNjYtYTQ1ZS00YTMzLWE0N2QtZmE2OGZkMzQ0NzQ2buS2KfWdq-nYBJSi4nmPxQBtLae17tKBPRMzwP5BC386nlxpoOTE1G748ZVH6Mq_TJL3GeV3PtXTVIkWOLBJi_7tljiQfpnVfrNkovvZkhUexYmFkcDsmLSdaWxZ6PcIMPAC4ojT8qV1sYV-ChTk36yqOx_NiKimZaDikDk7WTg&expires_in=3600&scope=scope_introspect&token_type=bearer&metadata=a%3A[Implicit-Test-auth-url-payload]
  
  $ curl -k -H "X-IBM-Client-Id: $myid" -H "X-IBM-Client-Secret: $mysecret" -d "token_type_hint=access_token&token=$mytoken" https://9.70.153.90/fei/sb/introspectp1/oauth2/introspect
                { "active":true, "token_type":"bearer", "client_id":"98ed8a66-a45e-4a33-a47d-fa68fd344746", "username":"anyuser", "sub":"anyuser", "exp":1484768365, "expstr":"2017-01-18T19:39:25Z", "iat":1484764765, "nbf":1484764765, "nbfstr":"2017-01-18T18:39:25Z", "scope":"scope_introspect", "miscinfo":"[r:gateway]a:[Implicit-Test-auth-url-token]", "client_name":"oauth_app" }
  

客户机凭证授权类型

在使用客户端凭据授权类型时， URL 无法启动，因为没有资源所有者。 来自认证 URL 的元数据不可用于此授权类型。 不过，从元数据 URL 返回的内容会被作为元数据包含在内。