POST/api/auth/sso/exchange

Huling hakbang ng isang SSO (Single Sign-On) na pag-login (SAML/OIDC): pinapalitan ang one-time code na ibinigay ng callback ng isang regular na session-JWT.

Ang pahina na "POST /api/auth/sso/exchange — API Reference" ay tumutukoy sa partikular na functional area na nabanggit sa URL. Ang kasalukuyang nilalaman ay dinagdagan ng aktwal na proseso, mga kinakailangan, at mga kilalang limitasyon. Ang Zentor ay walang sistema ng developer API key. Para sa dashboard, ginagamit ang mga Session-JWT na may labindalawang oras na validity at mga Refresh Token na may pitong araw na validity; ang TOTP at SSO ay opsyonal. Ang mga Widget-Embed Token ay ipinapakita nang isang beses sa plain text at nakatali sa mga awtorisadong origins. Ang dokumentasyon para sa `POST /api/auth/sso/exchange` ay dapat basahin bilang isang teknikal na paglalarawan ng partikular na endpoint na ito. Mahalaga ang pamamaraan, path, authentication, mga kinakailangang field, posibleng mga error, at kung ang pag-uulit ng tawag ay magdudulot ng parehong resulta. Samakatuwid, ang seksyon ng tulong na ito na https://zentor-app.de/hilfe/api-referenz/auth/auth.sso_exchange ay hindi dapat maglaman ng mga pangkalahatang pahayag sa advertising, ngunit dapat lamang maglaman ng mga nasusukat na hakbang sa pagsasama at mga halimbawa ng tugon. Para sa isang tawag sa `/api/auth/sso/exchange`, ang kahilingan ay binuo alinsunod sa registry. Ang mga pampublikong ruta ay hindi nangangailangan ng pangkalahatang developer API key dahil ang Zentor ay walang ganitong sistema ng key. Ang mga protektadong widget route, sa kabilang banda, ay gumagamit ng embed token na ipinapakita nang isang beses at isang pag-verify ng origin. Ang HTTP status at ang JSON content ay dapat suriin nang magkasama; ang isang field na `ok` lamang ay hindi pumapalit sa paghawak ng error. Kapag sinusubukan ang `POST /api/auth/sso/exchange`, dapat gamitin ang mga anonymized na halaga. Ang mga tunay na data ng customer, produktibong UUID, mga session token, at mga tiyak na timestamp ay hindi dapat isama sa mga pampublikong halimbawa. Ang kilalang limitasyon sa buong platform ay 2,000 na kahilingan sa loob ng 15 minuto; walang napatunayang indibidwal na limitasyon. Ang mga hindi idempotent na POST call ay hindi dapat ulitin nang basta-basta pagkatapos ng hindi malinaw na pagkabigo ng network. Ang mga karaniwang pagkakamali sa pagsasama para sa rutang ito ay sanhi ng mga nawawalang kinakailangang parameter, maling mga uri ng data, mga expired na one-time code, mga hindi pinahihintulutang origin, o isang hindi naipatupad na dataset. Ang aplikasyon ay dapat na humawak ng mga kasong ito nang hiwalay at i-log ang mensahe ng error na ibinalik ng endpoint, nang hindi isinusulat ang mga lihim na nilalaman. Ang isang matagumpay na kahilingan ay nagkukumpirma lamang sa hakbang na ito ng pagproseso, hindi awtomatikong isang kasunod na tagumpay sa email, pagbabayad, o SSO. Ito ay may direktang kaugnayan sa "POST /api/auth/sso/exchange". Ang teknikal na pagsusuri ng pahinang ito ay dapat na batay sa registry sa `app/frontend/src/content/api-reference/` at mga kaugnay na backend route. Ang mga live na tala ng pagsubok ay dapat lamang magpahayag ng kung ano ang talagang nasuri. Ang isang negatibong pagsubok o isang pagkakapareho ng code ay hindi isang kumpletong patunay ng tagumpay. Samakatuwid, para sa POST /api/auth/sso/exchange — API Reference, malinaw na dapat paghiwalayin ang dokumentadong istraktura, automated na pagsubok, at ligtas na naobserbahang live na pag-uugali.

{"code":"<Pinagsama-samang code mula sa SSO-callback-redirect>"}

{"ok":true,"token":"<JWT>","refreshToken":"<Refresh-Token>"}