@authup/core-http-kit (英语)

为 Authup API 键入了 HTTP 客户端,带有一个得到并刷新令牌的钩子.
停止对 Authup 服务器进行手写取呼叫、查询字符串和更新 .

安装 • 妇女 使用量 • 妇女 API 密码 • 妇女 文档

为什么?

Authup的管理API及其OAuth2端点都是平面HTTP,因此任何客户端都可行. 否则您自己会写到请求周围的部分:每个实体的URL, rapiq查询字符串 { data, meta } 响应形状、 符号赠与和 符号过期时的重试.

安装

npm install @authup/core-http-kit

仅限无害环境管理。 节点.js >=26.0.0浏览器 fetch。没有同伴依赖关系.

使用量

创建客户端

import { Client } from '@authup/core-http-kit';

const client = new Client({ baseURL: 'https://auth.example.com' });

const { data: users, meta } = await client.user.getMany({
    filters: { realmId: '<realm id>' },
    sorts: { name: 'ASC' },
    pagination: { limit: 20 },
});
// meta.total, meta.schema

const { data: user } = await client.user.getOne(users[0].id);

• baseURL 没有默认 : Client 发送相对的 URL, 除非你设置它 . API_URL_DEFAULT (单位:千美元)http://localhost:3001)为想要倒计时的呼叫者导出.
• 集合读取答案 { data: T[], meta: { total, limit?, offset?, schema? } }。记录读取和每个字母回答 { data: T, meta }。 。 。 .
• 查询需要 filters, (中文(简体) ), sorts, (中文(简体) ), fields, (中文(简体) ), relations 财务报告和审定财务报表 pagination,或已经组装的 rapiq IQuery (例如,一个与 and() 编号 : or() 从 @rapiq/core) (中文(简体) ). 服务器会放弃实体计划所不允许的一切; meta.schema 列出它的工作.

实体 APIs

每个实体在客户端上都有子API. 大多数动词带有相同的动词:

并不是每个实体都提供每个动词:只读事件,只读会话和会话符号(加) deleteMany),相交点,例如: userRole 或者说 clientScope 携带无 update。一些额外携带,例如 client.client.rotateSecret(id, payload?), (中文(简体) ), client.session.deleteMany(query?) 财务报告和审定财务报表 client.realm.getOne(id),其 meta.endpoints 拥有王国 issuer, (中文(简体) ), openidConfiguration 财务报告和审定财务报表 jwks URLs (英语).

按实体类型选择子API, 使用 pickEntityAPI。每个动词在结果上都是可选的,所以每个方法都注意:

import { EntityType } from '@authup/core-kit';
import { pickEntityAPI } from '@authup/core-http-kit';

const api = pickEntityAPI(client, EntityType.ROLE);
if (api && api.getMany) {
    const { data: roles } = await api.getMany({ pagination: { limit: 10 } });
}

获取一个符号

client.token 覆盖 /token 结束点 :

const grant = await client.token.createWithPassword({
    username: 'admin',
    password: 'start123',
    realm_name: 'master',
});

client.setAuthorizationHeader({ type: 'Bearer', token: grant.access_token });

持有第二个系数的用户添加 otp (一个TOTP或恢复代码)到密码授权.

保持新标志

ClientAuthenticationHook 附加到一个或多个客户端, 当服务器要求一个时会获得一个符号 :

import { Client, ClientAuthenticationHook, createClientTokenCreator } from '@authup/core-http-kit';

const client = new Client({ baseURL: 'https://auth.example.com' });

const hook = new ClientAuthenticationHook({
    tokenCreator: createClientTokenCreator(
        { id: '<client id>', secret: '<client secret>' },
        { client: { baseURL: 'https://auth.example.com' } },
    ),
});
hook.attach(client);

• 钩子没有在前面取出一个符号。 第一项请求没有提出;a 401 (或体中符号错误代码) tokenCreator组合 Authorization: Bearer 并重放请求一次.
• 同时发生的失败共用一个 tokenCreator 电话.
• 与 timer (默认情况下)它再次续约 60秒前 expires_in 跑出来.
• 密钥出错( N)JWK_* 代码)不设置头并拒绝不更新;失败的更新也会不设置.
• createUserTokenCreator({ name, password, realmId?, realmName? }, { client }) 是密码授予对应的。 你可以通过任何 () => Promise<OAuth2TokenGrantResponse> 换句话说.
• 钩子发出 refreshFinished, (中文(简体) ), refreshFailed, (中文(简体) ), headerSet 财务报告和审定财务报表 headerRemoved (单位:千美元)ClientAuthenticationHookEventName) (中文(简体) ).

设备授权

一个没有浏览器的设备 要求一个代码,显示它,和民调:

import { isClientError } from '@authup/core-http-kit';

const device = await client.deviceAuthorization.create({ client_id: '<client id>', scope: 'openid' });
console.log(`Open ${device.verification_uri_complete}`);

async function poll(interval: number) {
    await new Promise((resolve) => { setTimeout(resolve, interval * 1000); });
    try {
        return await client.token.createWithDeviceCode({
            device_code: device.device_code,
            client_id: '<client id>',
        });
    } catch (e) {
        const error = isClientError(e) ? e.response?.data?.error : undefined;
        if (error === 'authorization_pending') return poll(interval);
        if (error === 'slow_down') return poll(interval + 5);
        throw e;
    }
}

const grant = await poll(device.interval);

client.deviceAuthorization.lookup / approve / deny({ user_code }) 是批准代码的页面的呼叫;它们骑着客户自己的持单人.

检查权限

client.authorization.check() 询问哪个服务器允许呼叫者持有, 以及哪个域:

const permissions = await client.authorization.check({ names: ['user_read', 'user_update'] });
const canUpdate = permissions.some((permission) => permission.name === 'user_update');

• 奥米 names 检查所有许可. realms 财务报告和审定财务报表 clients 选择哪个定义由域和拥有定义的客户端进行评估;两者都默认为 [null] (定义由无域和无客户所有). 过 own (你的地盘,或者客户 你的令牌是发给), ownOrNull (加上未拥有), granted (加上你持有的每一项定义的拥有者)或身份证明清单(null . . . .
• targetRealms 选择每个定义对照的资源域。 默认为 ownOrNull (呼叫方域加全球行); 通过 own 或 域 id 列表 (null (单位:千美元).
• 每个条目都包含 name,拥有 realmId 编号 : clientId (无效时允许)和 targetRealms 它能撑住 只有呼叫者在至少一个被请求的目标域中持有的定义才会出现,因此不存在拒绝的手段.
• checkWithMaxAge() ưμ㼯a maxAge,直到日期或时间政策的秒数可以改变答案.
• client.authorization.get() 读取无身份许可目录。 它需要一个 permission_read, (中文(简体) ), permission_update 或者说 permission_delete。 。 。 .

测试

import { createFakeClient } from '@authup/core-http-kit/testing';

const fake = createFakeClient({
    handlers: {
        'GET /users/:id': (req) => ({ data: { id: req.params.id, name: 'alice' }, meta: {} }),
    },
});

const { data } = await fake.user.getOne('1');
// fake.requests lists every request: method, url, body, params, headers

• 处理器密钥是 '<METHOD> <path>' 与 :param 部分,或 '*' 做为包罗万象.
• 未匹配的请求答案 fallback,默认情况下 { data: [], meta: { total: 0 } }。 。 。 . baseURL 默认为 http://fake.test。 。 。 .
• Urlencoded body (token requests) 被记录为普通对象.

选项

ClientAuthenticationHookOptions数字 :

Client 选择 hapic 的客户端选项(baseURL, (中文(简体) ), headers(中文(简体) ).

API 密码

@authup/core-http-kit/testing 出口 FakeClient, (中文(简体) ), createFakeClient, (中文(简体) ), matchRoute 编辑 Fake* 类型.

页:1

• Token 调用客户端 Authorization 头曰. client.token.* 财务报告和审定财务报表 client.deviceAuthorization.create 移除客户所携带的头条,因此体内的客户证书从不与持证人相混. 过 { authorizationHeaderInherit: true } (或 { authorizationHeader }作为第二个送出一个论点的论据,例如用你自己的证书进行回顾: client.token.introspect({ token }, { authorizationHeaderInherit: true })。 。 。 .
• 错误消息来自服务器 . 如果请求失败, 客户端将替换错误 message 与身体的 message 当它有一个,所以 URL 已经不在它.
• 刷新每一次. 如果重播的请求再次失败, 它的错误会到达您手中 .

许可证

由 所制

现按 Apache 2.0 许可证。 。 。 .