Управление учётными данными

Любой запрос к API Epsilon должен быть авторизован. Раздел Разработчикам → Учётные данные собирает всё, чем это делается, и показывает базовый адрес API.

Базовый адрес API

Адрес, с которого начинаются все вызовы. Он свой у каждой площадки, поэтому его нельзя зашивать в код по памяти — скопируйте из этого раздела.

Внутри процессов тот же адрес доступен системной переменной @SYS_API_URL: собранная через неё ссылка переживает перенос процесса на другую площадку.

Три способа авторизации

Токен доступа к API — самый простой. Постоянный: действует, пока его не удалят. Годится для серверного кода и интеграций.

Клиент SPA OAuth — для одностраничных приложений в браузере. Пользователь входит своей учётной записью Epsilon, приложение получает токен с правами этого пользователя.

Клиент M2M OAuth — для обмена между серверами без участия человека. Приложение получает токен по идентификатору и секрету клиента.

Токены доступа к API

Вкладка «Токены доступа к API». Список показывает только ваши токены: чужие в нём не видны, и изменить их нельзя.

Кнопка «Создать новый» открывает форму.

Наименование — чтобы отличать токен в списке. Если не задать, платформа сгенерирует имя вида tk_shortid.

Разрешённые API — что этому токену позволено вызывать. Для запуска процессов нужен SQL API.

Гранты — конкретные источники, к которым токен получит доступ. Грант привязан к подключению, и типов у него три:

• таблица — выбранные таблицы подключения, по имени или через обозреватель;
• SQL-запрос — один конкретный запрос, который этому токену разрешено выполнять;
• все источники — всё содержимое подключения, включая таблицы, которые появятся позже.

Первые два — способ выдать наружу ровно то, что нужно: токен, знающий один запрос, бесполезен для всего остального.

Ограничения на токены — список адресов, с которых разрешены обращения. Пригождается, когда токен попадает в клиентский код и виден любому.

Как пользоваться

В списке токенов наведите курсор на нужный и нажмите «Копировать токен» — он окажется в буфере обмена.

Токен можно отредактировать в любой момент: добавить гранты, снять ограничения. Удаление необратимо, и всё, что использовало токен, перестанет работать сразу — перед удалением проверьте, что он больше не вызывается из вашего кода.

Клиенты SPA OAuth

Для приложения, которое живёт в браузере и входит от имени пользователя. После входа приложение получает токен доступа OAuth с правами этого пользователя — то есть может делать ровно то же, что и он сам: читать данные, запускать процессы.

При создании нужны два поля:

• Наименование — для списка;
• Адрес входа в приложение — страница, с которой ваши пользователи начинают вход, например https://моё-приложение.ru/.

Обычно этого достаточно: остальные адреса платформа выводит из адреса входа. Если потоки разнесены по разным адресам, снимите флажок «использовать адреса по умолчанию» и задайте отдельно адреса возврата после входа, адреса возврата после выхода, разрешённые источники запросов авторизации и разрешённые источники CORS.

Клиенты M2M OAuth

Для обмена между серверами: человека в этом потоке нет. Приложение предъявляет идентификатор и секрет клиента и получает токен.

Секрет показывается один раз при создании — сохраните его сразу в хранилище секретов. Восстановить его нельзя, можно только выпустить новый.

Права такому клиенту выдаются так же грантами, как и токенам доступа.

Что дальше

• Запуск workflow через API — самый частый сценарий использования токена.
• Ключевые понятия — чем токены отличаются от клиентов OAuth.