POST/api/auth/sso/exchange

SSO लॉगिन (SAML/OIDC) का अंतिम चरण: कॉलबैक द्वारा जारी किए गए एक बार के कोड को नियमित सत्र JWT के साथ बदलता है।

पृष्ठ „POST /api/auth/sso/exchange — API-Referenz“ उस फ़ंक्शनल क्षेत्र को कवर करता है जो URL में निर्दिष्ट है। मौजूदा सामग्री को वास्तविक प्रवाह, आवश्यकताओं और ज्ञात सीमाओं के साथ पूरा किया जाएगा। Zentor में कोई डेवलपर API-कुंजी प्रणाली नहीं है। डैशबोर्ड के लिए 12 घंटे की वैधता वाली सत्र JWTs और 7 दिनों की वैधता वाले रिफ्रेश टोकन का उपयोग किया जाता है; TOTP और SSO वैकल्पिक हैं। विजेट एम्बेड टोकन एक बार प्लेनटेक्स्ट में दिखाए जाते हैं और अनुमत ओरिजिन से बंधे होते हैं। `POST /api/auth/sso/exchange` के लिए दस्तावेज़ीकरण को इस विशिष्ट एंडपॉइंट की तकनीकी विवरण के रूप में बाध्यकारी माना जाना चाहिए। महत्वपूर्ण हैं विधि, पथ, प्रमाणीकरण, अनिवार्य फ़ील्ड, संभावित त्रुटियाँ और यह प्रश्न कि क्या पुनः कॉल करने से वही प्रभाव उत्पन्न होता है। इसलिए, इस सहायता अनुभाग https://zentor-app.de/hilfe/api-referenz/auth/auth.sso_exchange में सामान्य विपणन दावे नहीं होने चाहिए, बल्कि केवल बाद में अनुपालन योग्य एकीकरण चरण और प्रमाणित उत्तर उदाहरण होने चाहिए। `/api/auth/sso/exchange` के लिए एक कॉल करने के लिए, अनुरोध रजिस्ट्री के अनुसार बनाया जाना चाहिए। सार्वजनिक राउट को किसी सामान्य डेवलपर API-कुंजी की आवश्यकता नहीं है, क्योंकि Zentor ऐसी कुंजी प्रणाली प्रदान नहीं करता है। इसके विपरीत, सुरक्षित विजेट राउट एक बार दिखाए गए एम्बेड टोकन और एक ओरिजिन जाँच का उपयोग करते हैं। HTTP स्थिति और JSON सामग्री को साथ में मूल्यांकन किया जाना चाहिए; एक `ok` फ़ील्ड अकेले त्रुटि प्रबंधन का विकल्प नहीं है। `POST /api/auth/sso/exchange` के परीक्षण में एनोनिमाइज़्ड मानों का उपयोग किया जाना चाहिए। वास्तविक ग्राहक डेटा, उत्पादन UUIDs, सत्र टोकन और विशिष्ट टाइमस्टैम्प सार्वजनिक उदाहरणों में नहीं होने चाहिए। प्लेटफ़ॉर्म-व्यापी ज्ञात सीमा 15 मिनट के भीतर 2,000 अनुरोधों में है; एक भिन्न व्यक्तिगत सीमा प्रमाणित नहीं है। गैर-आइडेंपोटेंट POST कॉल्स को अस्पष्ट नेटवर्क विच्छेदन के बाद अंधाधुंध दोहराया नहीं जाना चाहिए। इस राउट के लिए सामान्य एकीकरण त्रुटियाँ गायब अनिवार्य पैरामीटर, गलत डेटा प्रकार, समाप्त हो चुके एकल-उपयोग कोड, अनुमत नहीं ओरिजिन या एक अमूर्त डेटासेट के कारण होती हैं। एप्लिकेशन को ऐसे मामलों को अलग से संभालना चाहिए और एंडपॉइंट द्वारा लौटाई गई त्रुटि संदेश को लॉग करना चाहिए, बिना गोपनीय सामग्री को शामिल किए। एक सफल अनुरोध केवल इस प्रसंस्करण चरण की पुष्टि करता है, न कि स्वचालित रूप से बाद में जुड़े ईमेल, भुगतान या SSO सफलता की। यह „POST /api/auth/sso/exchange“ के लिए तुरंत प्रासंगिक है। इस पृष्ठ की तकनीकी जाँच को कठोरता से `app/frontend/src/content/api-reference/` में रजिस्ट्री और संबंधित बैकएंड राउटों पर आधारित होना चाहिए। लाइव-टेस्ट नोट्स केवल वही दावा कर सकते हैं जो वास्तव में परीक्षण किया गया है। एक नकारात्मक परीक्षण या कोड समानता पूर्ण सफलता प्रमाण नहीं है। इसलिए, POST /api/auth/sso/exchange — API-Referenz के लिए दस्तावेज़ीकृत संरचना, स्वचालित परीक्षण और सुरक्षित रूप से अवलोकित लाइव व्यवहार के बीच स्पष्ट अंतर करना आवश्यक है।

{"code":"<SSO-Callback-Redirect से प्राप्त एकल उपयोग कोड>"}

{"ok":true,"token":"<JWT>","refreshToken":"<Refresh-Token>"}