Auth0 调用 API

Question

有人可以帮助理解 Auth0 API 快速入门

中的以下代码片段吗

curl --request POST \
  --url https://polarcrm.auth0.com/oauth/token \
  --header 'content-type: application/json' \
  --data '{"client_id":"7Sxxxxxxx","client_secret":"J-_Xxxf5gS0lHQnxxxxxx","audience":"https://api.polarcrm.com","grant_type":"client_credentials"}'

上面的调用成功，它为我提供了 Access_Token 使用该令牌，我可以调用 API，一切正常。

但这对我来说完全没有意义。我有一个在我的 SPA 应用程序上经过身份验证的用户。 Auth0 已经知道用户是谁并拥有所有用户信息，包括他的访问令牌和 id_token。但是现在当该用户调用 API 时，API 对用户一无所知。上面代码段中生成的访问令牌。它的有效载荷中只有以下数据：

{
  "iss": "https://polarcrm.auth0.com/",
  "sub": "7Sxxxxxx@clients",
  "aud": "https://api.polarcrm.com",
  "iat": 1564769606,
  "exp": 1564856006,
  "azp": "7Sxxxxxx",
  "gty": "client-credentials"
}

如果我的 API 不知道调用它的人，那么该令牌的用途是什么。 API 如何 return 用户特定数据？

如何将用户信息传递给 API？

当从 SPA（它们包含用户信息）发送不同的令牌（来自 ASP.NET 核心身份验证）或 id_token 时，API 调用因未授权错误而失败。

Answer 1

使用客户端凭据流时，没有用户上下文。对于 SPA，使用带有 pkce 的授权代码流。此 returns 包含用户 ID 的令牌。

这有点棘手，所以如果有帮助的话，消息如下：https://authguidance.com/2017/09/26/basicspa-oauthworkflow/

如果需要，很乐意回答后续问题..

Auth0 调用 API

Auth0 Calling API

authentication

authorization

oauth-2.0

auth0