OAuth 2.0 SSO 簡介

OAuth 2.0 是一種授權架構，可讓應用程式在 HTTP 服務上取得使用者帳戶的有限存取權。其運作方式是將使用者驗證委派給具有使用者帳戶的服務，並授權第三方應用程式存取使用者帳戶。OAuth 2.0 為 Web 和傳統型應用程式以及行動裝置提供授權流程。

深入了解 OAuth 2.0

基本 SSO

無論您選擇什麼功能，基本 SSO 都需要一些特定資料，特別是公開金鑰。新增會員計畫或信用卡實作將需要額外的資訊。

設定訊息

為了正確設定您範本網站的 OAuth 2.0 SSO 存取權，我們需要一些項目，包括：

API (授權、標記、使用者個人檔案)
ClientId
用戶端密碼
ResponseMode
isNounceEnabled
customerDetailsAPIKey (如果有)

授權流程

授權終端點

GET /authorize 端點會用於驗證和授權，當使用者完成驗證後，系統會向客戶端傳回授權許可或授權碼。logged-in. 這是瀏覽器重定向。

欄位	詳情	資料類型	範例值	是否為必要？
`client_id`	識別用戶端。必須符合您的識別提供者 (IDP) 中預先註冊的值。在手動用戶端註冊期間或透過動態用戶端註冊 API 取得。	字串		是
`nonce`	用於降低重新執行攻擊風險。此值會在識別碼標記中傳回。	字串		是
`prompt`	驗證所需的互動類型。若為「空」，則使用者必須登入 (若尚未驗證身份)。若為「無」，IDP 將不會提示登入，但若已登入則會返回授權碼，否則將返回錯誤訊息。	字串	有效值： none OR EMPTY	否
`redirect_uri`	應傳送授權碼或標記的回呼位置。必須符合用戶端註冊期間，在您的 IDP 中預先註冊的值。	字串		是
`response_type`	`code` (IDP) 值。	字串		是
`response_mode`	授權回應的傳回方式。	字串	有效值： query	否
`scope`	存取標記，用於擷取個人檔案詳細資料。驗證要求的必要項目。	字串	個人資料與電子郵件	是
`state`	互動狀態。此值會在標記中傳回，並可讓使用者點選連結、進行驗證，並返回最初感興趣的頁面。該值可以包含英數字元、逗號、句號、底線和連字號字元。	字串		是
`ui_locales`	使用者偏好的使用者介面語言與文字編碼。	字串	en_CA, fr_CA	否
`audience`	預定收件人。	字串	由夥伴定義	否

回應參數

參數	詳情	資料類型	是否為必要？
`code`	識別用戶端的授權碼。這必須符合您的 IDP 中預先註冊的值。在手動用戶端註冊期間或透過動態用戶端註冊 API 取得。	字串	是
`state`	互動狀態。此值會在標記中傳回，並可讓使用者點選連結、進行驗證，並返回最初感興趣的頁面。該值可以包含英數字元、逗號、句號、底線和連字號字元。	字串	是

授權網址範例

https://example.com/authorize?client_id={clientID}&response_type=code&state=d6b93799-404b-4205-9bb3-c579b1180428&scope=email profile&nounce=234567687867&redirect_uri=https://{ExpediaDomain}/sso/auth

範例回呼網址

https://{ExpediaDomain}/sso/auth?code=12345678&state=d6b93799-404b-4205-9bb3-c579b1180428

代幣端點

POST /token端點是一個後端 API 呼叫，用於透過提供授權授予或代碼來獲取存取憑證和身分憑證。

要求參數

參數	詳情	資料類型	是否為必要？
`grant_type`	您的 IDP 用於授權建立標記的機制。值：authorization_code	字串	是
`redirect_uri`	指定傳送授權的回呼位置。此值必須符合用於產生原始 `authorization_code` 的 `redirect_uri`。	字串	是
`code`	`/authorize` 呼叫回應中收到的用戶端識別碼。	字串	是

要求標頭

參數	詳情	資料類型	範例值	是否為必要？
`accept`	必須是「application/json」	字串	application/json	是
`authorization`	使用 Base64 對用戶端識別碼和密碼進行編碼。使用 HTTP 授權標頭中的編碼資訊。	字串	Basic<Base64 編碼的用戶端識別碼和密碼>	是
`Content-Type`	必須是「application/x-www-form-urlencoded」	字串	application/x-www-form-urlencoded	是

回應屬性

欄位	詳情	資料類型
`access_token`	存取標記	字串
`token_type`	標記的對象	字串
`expires_in`	存取標記的到期時間 (秒)	整數
`scope`	存取標記中包含的範圍	字串

範例代幣 CURL

curl --location 'https://example.com/token’ \
--header 'Content-Type: application/x-www-form-urlencoded' \
--header 'Authorization: Basic {encoded ClientID:clientSecret}' \
--data-urlencode 'grant_type=authorization_code' \
--data-urlencode 'redirect_uri=https://{ExpediaDomain}/sso/auth’ \
--data-urlencode 'code={Authorization code after login as part of callback to Expedia /sso/auth endpoint}'

範例代幣回應

{
    "access_token": "eyJhbGciOi.JSUzI1NiIsImtpZCI6Ilk1MkFDVXd3QV9SUzI1NiIsInBp.LmF0bSI6ImlrY20ifQ",
    "token_type": "Bearer",
    "expires_in": 1799
}

使用者資訊端點

GET /userinfo 端點是一個後端 API 呼叫，根據提供的存取憑證，返回關於已驗證使用者的聲明。

請求標頭

欄位	詳情	資料類型	範例值	是否為必要？
`ClientId`	識別用戶端。必須符合您的識別提供者 (IDP) 中預先註冊的值。在手動用戶端註冊期間或透過動態用戶端註冊 API 取得。	字串		是
`Authorization`	用於傳送憑證或代幣以驗證用戶的 HTTP 標頭	字串	持有人 [access_token]	是

回應

欄位	詳情	資料類型	範例值	是否為必要？
`membershipId`	唯一識別客戶帳戶的識別碼	字串		是
`optIn`	客戶選擇接收行銷電子郵件時的布林標記	布林值	真/假	否
`languageId`	用戶首選語言	字串	英文, 法文	否
`channelType`	使用者透過不同平台與應用程式進行互動	字串	網頁、手機、平板	否
`firstName`	客戶的姓名	字串		是
`middleName`	客戶的中間名	字串		否
`lastName`	客戶的姓氏	字串		否
`email`	客戶的電子郵件地址	字串		否
`programAccount`	Loyalty-related 資訊	programAccount	請參閱`Add loyalty` 中的「`programAccount`」章節，以獲取物件詳細資訊。	否

範例用戶資訊 CURL

curl --location 'https://example.com/userinfo' \
--header 'client_id: {clientId}' \
--header 'Authorization: Bearer {acess_token from token endpoint}'

範例使用者資訊回應

{
  "membershipId": "12345678",
  "languageID": "en",
  "middleName": "MiddleName",
  "lastName": "LastName",
  "firstName": "FirstName",
  "email": "test@expediagroup.com",
  "programAccount": {
    "programId": "Gold",
    "loyaltyAccountBalance": {
      "value": "10000",
      "currency": "Points"
    }
  }
}

新增會員計畫

作為您範本網站的一部分，您可以為客戶提供在旅遊消費中累積忠誠點數的功能。若您選擇啟用此功能，您的模板亦可讓客戶透過使用其累積的忠誠度點數購買旅遊產品。

適用與標準實作相同的設定需求，許多值也相同。這裡只包含不同的值。

除標準的user information 外，忠誠計劃設定將包含以下數值。

programAccount

欄位	說明	資料類型	是否為必要？
`programId`	旅客所屬會員計畫的識別碼，或與會員計畫相關聯的等級名稱	字串	是
`loyaltyAccountNumber`	旅客的會員帳號；只有在會員計畫作業需要次要識別碼 (唯一 `membershipId` 以外的識別碼) 時才應填入	字串	否
`lastFourDigitsOfCreditCard`	旅客預訂時所用信用卡的末 4 碼	整數	否
`accountName`	計畫名稱 (如果與等級名稱不同)	字串	否
`loyaltyConversionRatio`	付款轉換為賺取點數的比率 (例如 $1 = 1 點)	雙精度	否
`loyaltyAccountBalance`	旅客所賺取會員點數的目前餘額	金額 (請參閱下方金額欄位以獲取物件詳情)	否

金額

欄位	說明	資料型別	是否為必要？
`value`	會員點數餘額；嵌入至 `loyaltyAccountBalance` 下方	長期	是
`currency`	會員計畫所使用的獎勵幣別，例如貨幣類型、點數、英里；嵌入至 `loyaltyAccountBalance` 下方	字串	是