Приложение запрашивает код. Войти через Яндекс. Руководство разработчика

1. Приложение направляет пользователя на страницу Яндекс.OAuth, где он может разрешить доступ к своим данным.

2. Пользователь разрешает доступ к приложению.

3. Яндекс.OAuth перенаправляет пользователя на URL, указанный в поле Callback URL при регистрации приложения. Код подтверждения (или описание ошибки) передается в параметре URL-адреса перенаправления.

4. Приложение получает адрес переадресации и код подтверждения.

5. Приложение отправляет POST-запрос с кодом.

6. Яндекс.OAuth возвращает токен в теле ответа.

Совет. Вы можете получить токены отладки для приложения вручную.

Токен можно сохранить в приложении и использовать для запросов API до истечения срока его действия. Токен должен быть доступен только вашему приложению, поэтому мы не рекомендуем сохранять его в файлах cookie браузера, открывать файлы конфигурации и т.

Приложение должно направить пользователя на Яндекс.OAuth по следующему адресу:

 https://oauth.yandex.com/authorize?
   \n 
 Ожидаемый ответ. 
 \n 
 При запросе кода подтверждения укажите значение «код». 
 \n "}}">=код
 & \n 
 Идентификатор приложения. Доступно в свойствах приложения (щелкните имя приложения, чтобы открыть его свойства). 
 \n "}}">=<идентификатор приложения>
[&\n 
 Уникальный идентификатор устройства, для которого запрашивается токен. Чтобы обеспечить уникальность, просто сгенерируйте UUID один раз и используйте его каждый раз, когда с этого устройства запрашивается новый токен. 
 \n \n 
 Идентификатор должен содержать от 6 до 50 символов. Допускаются только печатные символы ASCII (с кодами от 32 до 126). 
\n 
 Ограничение. Приложение может иметь до 20 токенов, связанных с устройствами пользователя. Если Яндекс.OAuth выдает новый токен устройства для приложения, самый старый токен перестает работать.
  
 \n 
 Дополнительные сведения о токенах для отдельных устройств см. в разделе Токен для устройства. 
 \n "}}">=<идентификатор устройства>]
[&\n 
 Имя устройства для отображения пользователям. До 100 символов. 
 \n 
 Для мобильных устройств рекомендуется передавать имя устройства, указанное пользователем. Если имя отсутствует, его можно взять из модели устройства, названия и версии ОС и т. д. 
\n 
 Если  имя_устройства 9Параметр 0055 отправляется без параметра  device_id , он игнорируется. Яндекс.OAuth может выдать только обычный токен, не привязанный к устройству. 
  \n 
 Если параметр  device_id  отправляется без параметра  device_name , токен помечается как выданный для неизвестного устройства в пользовательском интерфейсе.  
 \n "}}">=<имя устройства>]
[& \n 
 URL-адрес для перенаправления пользователя после того, как он разрешит или запретит доступ к приложению. По умолчанию используется первый URI обратного вызова, указанный в настройках приложения (Платформы → Веб-сервисы → URI обратного вызова). 
 \n 
 Значение параметра может содержать только URL-адреса, указанные в настройках приложения. Если совпадение неточное, этот параметр игнорируется. 
 \n "}}">=
 ]
[& \n 
 Явное указание учетной записи, для которой запрашивается токен. В значении параметра можно передать имя пользователя аккаунта Яндекса, а также адрес Яндекс.Почты или Яндекс.Почты для домена. 
 \n 
 Этот параметр позволяет помочь пользователю авторизоваться в Яндексе с той учетной записью, к которой приложению необходим доступ. Когда Яндекс.OAuth получает этот параметр, он проверяет пользователя'.;s авторизация: 
 \n \n 
 Если в этом параметре указан несуществующий аккаунт, Яндекс.OAuth сможет только сообщить об этом пользователю.  Приложению придется снова запросить токен. 
 \n "}}">=<имя пользователя или адрес электронной почты>]
[& \n 
 Список прав доступа, необходимых приложению в данный момент, разделенных пробелом. Права необходимо запрашивать из списка, определенного при регистрации приложения. Чтобы посмотреть разрешенные права, перейдите по ссылке https://oauth.yandex.com/client/<client_id>/info, указав идентификатор приложения вместо <client_id>. 
  \n 
 Если параметры  scope  и  option_scope  не переданы, то токен будет выдан с правами, указанными при регистрации приложения. 
 \n 
 Этот параметр позволяет получить токен только с теми правами, которые в данный момент требуются приложению. 
 \n 
 \n 
 
 Примечание.  Все права доступа запрашиваются сразу через параметры 
  scope  и  option_scope , считаются необязательными и не требуются для работы приложения. Пользователь решает, какие запрошенные дополнительные права предоставить. 
 
 \n 
 \n "}}">=<запрошенные необходимые права>]
[& \n 
 Список дополнительных прав доступа, разделенных пробелом, которые не требуются для работы приложения. Дополнительные права запрашиваются в дополнение к правам, указанным в параметре  области . Дополнительные права должны быть запрошены из списка, определенного при регистрации приложения. Чтобы посмотреть разрешенные права, перейдите по ссылке https://oauth.
 
  yandex.com/client/<client_id>/info, указав идентификатор приложения вместо <client_id>. 
 \n 
 Если параметры  scope  и  option_scope  не переданы, то токен будет выдан с правами, указанными при регистрации приложения. 
 \n 
 Пользователь решает, какие запрошенные дополнительные права предоставить. Токен будет выдан с правами, указанными в параметре  scope , и правами, выбранными пользователем из списка, указанного в параметре 
  option_scope . 
 \n 
 Этот параметр можно использовать, например, если приложению требуется электронная почта для регистрации пользователя, а доступ к портрету предпочтителен, но не обязателен.  
\n 
 Примечание. Все права доступа, запрошенные сразу через параметры  scope  и  option_scope , считаются необязательными. 
 \n "}}">=<запрашиваемые дополнительные права>]
[& \n 
 Указывает, что пользователь должен запросить разрешение на доступ к учетной записи (даже если пользователь уже разрешил доступ к этому приложению). Получив этот параметр, Яндекс.OAuth предложит пользователю разрешить доступ к приложению и выбрать учетную запись Яндекса. 
  \n \n 
 Параметр обрабатывается, если его значение равно «да», «истина» или «1». Если установлено любое другое значение, параметр игнорируется. 
 \n "}}">=да]
[&\n 
 Строка состояния, которую Яндекс. OAuth возвращается без изменений. Максимально допустимая длина строки составляет 1024 символа.  
 \n 
 Может использоваться, например, для защиты от CSRF-атак или идентификации пользователя, для которого запрашивается токен. 
 \n "}}">=<произвольная строка>] 

Когда пользователь разрешает доступ к своим данным, Яндекс.OAuth перенаправляет его в приложение. Код подтверждения включен в URL-адрес перенаправления.

Примечание. Время жизни этого кода составляет 10 минут. По истечении этого времени код необходимо запрашивать снова.

Формат URL с кодом:

 http://www. example.com/token?
   \n 
 Код подтверждения, который можно обменять на токен OAuth. 
 \n 
 Время жизни этого кода 10 минут. По истечении этого времени код необходимо запрашивать снова. 
 \n "}}">=<код подтверждения>
[&\n 
 Строка состояния, которую Яндекс. OAuth возвращается без изменений. Максимально допустимая длина строки составляет 1024 символа. 
 \n 
 Может использоваться, например, для защиты от CSRF-атак или идентификации пользователя, для которого запрашивается токен. 
 \n "}}">=\n 
 Строка состояния, которую Яндекс. OAuth возвращается без изменений. Максимально допустимая длина строки составляет 1024 символа. 
 \n 
 Может использоваться, например, для защиты от CSRF-атак или идентификации пользователя, для которого запрашивается токен. 
 \n "}}"> значение параметра в запросе>] 

Если код подтверждения выдать не удалось, Яндекс.OAuth указывает код и описание ошибки в URL. Описание на языке домена OAuth, на который был отправлен запрос: например, для oauth.yandex.com текст будет возвращен на английском языке.

Формат URL-адреса с информацией об ошибке:

 http://www.example.com/token?
   error=<код ошибки> & error_description=<описание ошибки> [& state=<\n 
 Строка состояния, которую Яндекс.  OAuth возвращается без изменений. Максимально допустимая длина строки составляет 1024 символа. 
 \n 
 Может использоваться, например, для защиты от CSRF-атак или идентификации пользователя, для которого запрашивается токен. 
 \n "}}"> значение параметра в запросе>] 

Коды ошибок:

Приложение отправляет код, а также свой идентификатор и пароль в POST-запросе.

 POST/токен HTTP/1.1
Хост: oauth.yandex.com
Тип контента: application/x-www-form-urlencoded
Длина содержимого:  <  длина тела запроса  > 
[Авторизация: Basic  <  закодированная строка  client_id:client_secret   >  ]
   \n 
 Метод, используемый для запроса токена OAuth. 
 \n 
 Если вы используете код подтверждения, укажите значение «authorization_code». 
 \n "}}">=код_авторизации
 & \n 
 Код подтверждения получен от Яндекс.OAuth. Время жизни этого кода составляет 10 минут. По истечении этого времени код необходимо запрашивать снова.  
 \n "}}">=<код подтверждения>
[& \n 
 Идентификатор приложения. Доступно в свойствах приложения (щелкните имя приложения, чтобы открыть его свойства). 
 \n 
 Вы также можете передать пароль и идентификатор приложения в заголовке авторизации. 
 \n "}}">=<идентификатор приложения>]
[& \n 
 Пароль приложения. Доступно в свойствах приложения (щелкните имя приложения, чтобы открыть его свойства). 
 \n 
 Вы также можете передать пароль и идентификатор приложения в заголовке авторизации. 
 \n "}}">=<пароль приложения>]
[& \n 
 Идентификатор устройства, для которого запрашивается токен. 
 \n 
 Если ID был указан в параметре device_id при запросе кода подтверждения, параметры  device_id  и  device_name  игнорируются при запросе токена.  
 \n "}}">=<идентификатор устройства>]
[& \n 
 Имя устройства, для которого запрашивается токен. 
 \n 
 Если при запросе кода подтверждения был передан параметр  device_id , параметры  device_id  и  device_name  игнорируются при запросе токена. 
 \n              "}}">=] 

Яндекс.OAuth возвращает токен OAuth, токен обновления и время их жизни в формате JSON:

 200 ОК
Тип содержимого: приложение/json
{
  "token_type": "носитель",
  "access_token": "AQAAAAACy1C6ZAAAAfa6vDLuItEy8pg-iIpnDxIs",
  "expires_in": 124234123534,
  "refresh_token": "1:GN686QVt0mmakDd9:A4pYuW9LGk0_UnlrMIWklkAuJkUWbq27loFekJVmSYrdfzdePBy7:A-2dHOmBxiXgajnD-kYOwQ",
  "scope": "логин:информация логин:электронная почта логин:аватар"
} 

Время жизни токена обновления такое же, как и время жизни токена OAuth.

Если не удалось выдать токен, ответ содержит описание ошибки:

 {
  "error_description": "<описание ошибки>",
  "ошибка": "<код ошибки>"
} 

Коды ошибок:

• author_pending : Пользователь еще не ввел код подтверждения.

• bad_verification_code : переданное значение параметра code не является 7-значным числом.

• invalid_client : Приложение с указанным идентификатором (параметр client_id ) не найдено или заблокировано. Этот код также возвращается, если Параметр client_secret передал неверный пароль приложения.

• invalid_grant : Недействительный или просроченный код подтверждения.

• invalid_request : Неверный формат запроса (один из параметров не указан, указан дважды или не передан в теле запроса).

• invalid_scope : Права приложения изменились после генерации кода подтверждения.

• неавторизованный_клиент : Приложение отклонено на модерации или ожидает модерации.

• unsupported_grant_type : Недопустимое значение параметра grant_type .

• Требуется базовая аутентификация : Тип авторизации , указанный в заголовке Authorization , не является Basic .

Структура ответа. Описание API

Внимание. Яндекс Коннект больше не поддерживается. API каталога будет закрыт с 01 марта 2023 г.

Для управления организациями, пользователями и доменами перейдите в Яндекс 360 для бизнеса.

Документация по API 360 (рус.)

Формат ответа General Directory API:

 HTTP/1.1 <код состояния>  Content-Type  — Формат данных тела ответа. Значение всегда должно быть  application/json; charset=utf-8  . "}}">: приложение/json; charset=utf-8  WWW-Authenticate  (только для ответов 403) — Описание ошибки авторизации."}}">: <формат авторизации>  Ссылка  — URL следующей и последней страницы в списке. Для запросов, содержащих список объектов."}}">: ; rel="следующая", ; rel="last"  X-Request-ID  — уникальный идентификатор ответа."}}">: <идентификатор ответа>…{json-object | json-array}  

Ответы API каталога должны сопровождаться заголовками HTTP:

• Content-Type — Формат данных тела ответа. Значение всегда должно быть application/json; кодировка=utf-8 .

• WWW-Authenticate (только для ответов 403) — Описание ошибки авторизации.

• Ссылка — адреса следующей и последней страницы в списке. Для запросов, содержащих список объектов.

• X-Request-ID — Уникальный идентификатор ответа.

Некоторые ответы могут иметь дополнительные заголовки. Эти заголовки описаны в разделах, посвященных запросам API.

Тело ответа содержит данные в формате JSON. Вы можете найти описания поддерживаемых полей и структуры тела в разделах, посвященных запросам API.

Ответ на запрос второй страницы списка сотрудников:

• Запрос выполнен успешно: 200 ОК .

• Тело ответа в формате JSON: Content-Type: application/json; кодировка=utf-8 .

• Ответ на запрос содержит несколько страниц:

 HTTP/1.