OAuth 2.0 授权

创建身份验证配置

1. 在 .http 文件中，在 使用以下方式运行 列表中，选择您想添加身份验证配置的环境。

2. 在工具栏中点击 并选择 身份验证配置。

   这将向公共环境文件中添加一个身份验证配置模板，在所选环境的 "Auth" 对象的 "安全" 下。 例如：

   { "dev": { "Security": { "Auth": { "auth-id": { "Type": "OAuth2", "Grant Type": "", "Client ID": "" } } } } }

3. 将占位符 auth-id 替换为一个有意义的名称，以便在您的 .http 文件中引用此配置。

4. 请指定 认证参数。 所需的参数取决于所选的 "Grant Type"。 使用 IntelliJ IDEA 编码辅助功能填写认证参数：开始输入参数名称或按 Ctrl+Space 以获取可用 JSON 键列表。

在 HTTP 请求中使用身份验证配置

一旦创建了身份验证配置，您可以使用它来获取访问令牌并验证您的请求。

1. 将身份验证配置的名称传递给 {{$auth.token()}} 变量，例如， {{$auth.token("my-config")}}。 您可以在请求 Authorization 头或查询参数中使用此变量。

2. 点击 发送请求。 在访问受保护资源之前，HTTP 客户端将向授权服务器发送请求以获取访问令牌。

3. 出现提示时，请完成身份验证过程。 如果身份验证成功完成，HTTP 客户端将访问受保护的资源。

要快速添加 {{$auth.token()}} 变量，您可以使用实时模板：在 HTTP 方法中，在 标头 部分开始输入 AuthorizationToken ，并从出现的建议列表中选择可用的认证。

当您运行这样的请求时， 显示身份验证日志 按钮将在 服务 工具窗口中可用。 它让您查看重定向页面、访问令牌和其他身份验证详细信息。

手动获取访问令牌

当您在 HTTP 请求中引用身份验证配置时，HTTP 客户端会在访问受保护资源之前自动获取（或刷新）访问令牌。 如果您想在不向受保护资源发送实际请求的情况下获取访问令牌，您可以手动获取访问令牌。

1. 在 http-client.env.json 文件中，点击 旁边的认证配置名称。

2. 如果身份验证配置包含 私有变量 ，请选择显示的弹出窗口中的私有环境文件。

3. 出现提示时，请完成身份验证过程。

如果身份验证成功，IntelliJ IDEA 将获得访问令牌。 如果您已经拥有访问令牌，但它已过期，IntelliJ IDEA 将会刷新它。

获取新的访问令牌

除了刷新令牌之外，您还可以通过重新身份验证来获取新令牌，也就是重复您用于获取初始访问令牌的原始流程。

1. 在 http-client.env.json 文件中，将文本光标放在身份验证配置名称上。

2. 按 Alt+Enter (显示上下文操作​​ )，然后选择 强制获取身份验证令牌。

3. 如果身份验证配置包含 私有变量 ，请选择显示的弹出窗口中的私有环境文件。

当您的文本光标位于 $auth.token 变量的 .http 文件中时，您可以调用相同的操作。 在这种情况下，您无需选择一个私有环境文件，因为 HTTP 客户端 将使用与您的 .http 文件位于同一文件夹中的那个文件。

清除浏览器 Cookie

您的授权服务器可能会将身份验证数据存储在浏览器 Cookie 中。 如果您想使用不同的数据测试身份验证流程，您可能需要清除内置 JCEF 浏览器的 cookies。

1. 在 http-client.env.json 文件中，将文本光标放在认证配置名称上并按 Alt+Enter (显示上下文操作​​)。

2. 选择 清除浏览器 Cookie。

或者，您可以通过点击 在 HTTP 客户端身份验证日志 工具窗口中清除 cookies。

使用 ID 令牌代替访问令牌

如果您的服务器需要使用 ID 令牌而不是访问令牌，您可以通过以下任何一种方式配置 HTTP 客户端 来实现这一点：

• 在您的身份验证配置中，使用 "Use ID Token": true 参数。

• 在一个 .http 文件中，使用 $auth.idToken 变量，例如 Authorization: Bearer {{$auth.idToken("auth-id-1")}}。

使用自定义身份验证参数

HTTP 客户端 提供了一个定义自定义请求参数的选项，以满足您的授权服务器可能需要的要求。 这包括例如 resource 和 受众 扩展了OAuth 2.0授权框架。

1. 在您的身份验证配置中，添加 "自定义请求参数" 对象。

2. 在 "自定义请求参数" 内，输入您的参数名称和值（字符串或数组）。

3. 如果您想将参数的使用限制在某些请求上，请将该值定义为具有两个键的对象：

   • "值" （参数值）

   • "Use" — 使用该形参的作用域。 它有三个可能的值：

     • "Use": "Everywhere" （在任何请求中）

     • "Use": "In Auth Request" （仅用于身份验证请求）

     • "Use": "In Token Request" （仅用于令牌请求）

   例如：

   "auth-id-1": { "Type": "OAuth2", "Custom Request Parameters": { "audience": { "Value": "https://my-audience.com/", "Use": "In Token Request" }, "resource": [ "https://my-resource/resourceId1", "https://my-resource/resourceId2" ], "my-custom-parameter": "my-custom-value" }, }

使用 HTTP 客户端身份验证日志 工具窗口查看请求中使用的参数及其值。

使用自定义请求头

HTTP 客户端提供了一个选项，可使用您的授权服务器可能需要的自定义请求头。

1. 在您的身份验证配置中，添加 "Custom Request Headers" 对象。

2. 在 "Custom Request Headers" 中输入您的头名称及其值。

   按 Ctrl+Space 获取流行头的建议列表，例如 Accept、 Cookie 或 User-Agent。

3. 如果您想将头的使用限制在某些请求中，请将值定义为具有两个键的对象：

   • "值" （头值）

   • "Use" — 使用该头的范围。 它有三个可能的值：

     • "Use": "Everywhere" （在任何请求中）

     • "Use": "In Auth Request" （仅用于身份验证请求）

     • "Use": "In Token Request" （仅用于令牌请求）

   例如：

   "auth-id-1": { "Type": "OAuth2", "Custom Request Headers": { "Accept": { "Use": "Everywhere", "Value": "application/javascript" }, "my-custom-header": "my-custom-value" }, }