获取访问令牌

以下将介绍如何在 Postman 中构建请求获取访问令牌。除此之外，您还可以手动构建请求 URL 并将其粘贴到浏览器窗口中。在您进行身份验证后，浏览器会在地址栏中返回访问令牌。

请求 URL 应如下所示：

https://${yourDomain}/oauth/v1/authorize?client_id=xxxxxxx&response_type=token&response_mode=fragment&scope=okta.users.read&redirect_uri=${yourConfiguredRedirectUri}&nonce=UBGW&state=1234`

1. 使用Postman，选择您要发出的请求，例如对 /api/v1/users 端点的 GET 请求，以获取所有用户的列表。

2. 在标题选项卡上，删除现有的 SSWS 授权 API 密钥。

3. 单击授权选项卡，然后从类型下拉列表中选择 OAuth 2.0。

4. 在右侧，单击获取新Access Token。

5. 在出现的对话框中，输入令牌的名称并选择 Authorization Code (With PKCE)作为授权类型。

6. 为令牌请求定义以下内容：

   • 回调 URL — 定义用户完成身份验证后 XAuth 返回令牌的回调位置。此 URL 必须匹配您在在 XAuth中创建 OAuth 2.0 应用部分中配置的重定向 URI 中的一个。

   • Auth URL — 输入您的组织内置授权服务器的授权端点。例如：https://${yourOktaDomain}/oauth2/v1/authorize

   • Access token URL — 输入组织授权服务器的令牌端点。

     例如：https://${yourOktaDomain}/oauth/v1/token

   • Code Challenge Method, 选择SHA256

   • Code Verifier - 将其留空， Postman会 生成自己的

   • Client ID— 填写应用页面获取的Client ID

   • Scope —包括允许您在要访问的端点上执行操作的范围。访问令牌请求的范围必须已经存在于应用的API权限集合中，并且用户必须有权执行这些操作。

   • State—使用任何字母数字值。授权服务器在将浏览器重定向回客户端时会反映此字符串，您的客户端可以验证该字符串以防止跨站点请求伪造攻击。

7. 点击Request Token：系统会提示您登录您的 XAuth 组织。通过身份验证后，“Manage Access Tokens”窗口将显示访问令牌，包括请求的范围。令牌还会自动填充可用令牌下拉列表。

8. 点击 Use Token ：在使用此访问令牌对 /users 端点的请求用户列表。

9. 点击Send：发送包含 XAuth.users.read范围的请求，成功后响应包含与您的应用关联的所有用户的列表,这取决于用户的权限。