OAuth 2.0 SSO 簡介

OAuth 2.0 是一種授權架構，可讓應用程式在 HTTP 服務上取得使用者帳戶的有限存取權。其運作方式是將使用者驗證委派給具有使用者帳戶的服務，並授權第三方應用程式存取使用者帳戶。OAuth 2.0 為 Web 和傳統型應用程式以及行動裝置提供授權流程。

深入了解 OAuth 2.0

基本 SSO

無論您選擇什麼功能，基本 SSO 都需要一些特定資料，特別是公開金鑰。新增會員計畫或信用卡實作將需要額外的資訊。

設定訊息

為了正確設定您範本網站的 OAuth 2.0 SSO 存取權，我們需要一些項目，包括：

API (授權、標記、使用者個人檔案)
ClientId
用戶端密碼
ResponseMode
isNounceEnabled
customerDetailsAPIKey (如果有)

授權流程

授權端點

GET /authorize 端點會用於驗證和授權，當使用者是 logged-in 時，它會向客戶端傳回授權許可或程式碼。這是一個瀏覽器重定向。

欄位	詳情	資料類型	範例值	是否為必要？
`client_id`	識別用戶端。必須符合您的識別提供者 (IDP) 中預先註冊的值。在手動用戶端註冊期間或透過動態用戶端註冊 API 取得。	字串		是
`nonce`	用於降低重新執行攻擊風險。此值會在識別碼標記中傳回。	字串		是
`prompt`	驗證所需的互動類型。如果為“空”，則使用者必須登入 (如果尚未經過身份驗證)。如果為“無”，則 IDP 將不會提示登錄，但如果已登入則會傳回授權碼，否則會傳回錯誤。	字串	有效值： none 或為空	否
`redirect_uri`	應傳送授權碼或標記的回呼位置。必須符合用戶端註冊期間，在您的 IDP 中預先註冊的值。	字串		是
`response_type`	`code` (IDP) 值。	字串		是
`response_mode`	授權回應的傳回方式。	字串	有效值： query	否
`scope`	存取標記，用於擷取個人檔案詳細資料。驗證要求的必要項目。	字串	個人資料和電子郵件	是
`state`	互動狀態。此值會在標記中傳回，並可讓使用者點選連結、進行驗證，並返回最初感興趣的頁面。該值可以包含英數字元、逗號、句號、底線和連字號字元。	字串		是
`ui_locales`	使用者首選的使用者介面語言和腳本。	字串	en_CA, fr_CA	否
`audience`	預期的收件人。	字串	由合作夥伴定義	否

回應參數

參數	詳情	資料類型	是否為必要？
`code`	識別用戶端的授權碼。這必須符合您的 IDP 中預先註冊的值。在手動用戶端註冊期間或透過動態用戶端註冊 API 取得。	字串	是
`state`	互動狀態。此值會在標記中傳回，並可讓使用者點選連結、進行驗證，並返回最初感興趣的頁面。該值可以包含英數字元、逗號、句號、底線和連字號字元。	字串	是

授權 URL 範例

https://example.com/authorize?client_id={clientID}&response_type=code&state=d6b93799-404b-4205-9bb3-c579b1180428&scope=email profile&nounce=234567687867&redirect_uri=https://{ExpediaDomain}/sso/auth

回調 URL 範例

https://{ExpediaDomain}/sso/auth?code=12345678&state=d6b93799-404b-4205-9bb3-c579b1180428

令牌端點

POST /token端點是一個後端 API 呼叫，用於透過提供授權許可或程式碼來取得存取權杖和 ID 令牌。

要求參數

參數	詳情	資料類型	是否為必要？
`grant_type`	您的 IDP 用於授權建立標記的機制。值：authorization_code	字串	是
`redirect_uri`	指定傳送授權的回呼位置。此值必須符合用於產生原始 `authorization_code` 的 `redirect_uri`。	字串	是
`code`	`/authorize` 呼叫回應中收到的用戶端識別碼。	字串	是

要求標頭

參數	詳情	資料類型	範例值	是否為必要？
`accept`	必須是「application/json」	字串	application/json	是
`authorization`	使用 Base64 對用戶端識別碼和密碼進行編碼。使用 HTTP 授權標頭中的編碼資訊。	字串	Basic<Base64 編碼的用戶端識別碼和密碼>	是
`Content-Type`	必須是「application/x-www-form-urlencoded」	字串	application/x-www-form-urlencoded	是

回應屬性

欄位	詳情	資料類型
`access_token`	存取標記	字串
`token_type`	標記的對象	字串
`expires_in`	存取標記的到期時間 (秒)	整數
`scope`	存取標記中包含的範圍	字串

範例令牌 CURL

curl --location 'https://example.com/token’ \
--header 'Content-Type: application/x-www-form-urlencoded' \
--header 'Authorization: Basic {encoded ClientID:clientSecret}' \
--data-urlencode 'grant_type=authorization_code' \
--data-urlencode 'redirect_uri=https://{ExpediaDomain}/sso/auth’ \
--data-urlencode 'code={Authorization code after login as part of callback to Expedia /sso/auth endpoint}'

令牌回應範例

{
    "access_token": "eyJhbGciOi.JSUzI1NiIsImtpZCI6Ilk1MkFDVXd3QV9SUzI1NiIsInBp.LmF0bSI6ImlrY20ifQ",
    "token_type": "Bearer",
    "expires_in": 1799
}

使用者資訊端點

GET /userinfo 端點是一個後端 API 呼叫，它根據提供的存取權杖返回有關經過身份驗證的使用者的聲明。

請求標頭

欄位	詳情	資料類型	範例值	是否為必要？
`ClientId`	識別用戶端。必須符合您的識別提供者 (IDP) 中預先註冊的值。在手動用戶端註冊期間或透過動態用戶端註冊 API 取得。	字串		是
`Authorization`	用於傳送憑證或令牌來驗證使用者的 HTTP 標頭	字串	持有者 [access_token]	是

回應

欄位	詳情	資料類型	範例值	是否為必要？
`membershipId`	唯一識別客戶帳戶的識別符	字串		是
`optIn`	如果客戶選擇接收行銷電子郵件，則為布林標記	布林值	正確/錯誤	否
`languageId`	使用者的首選語言	字串	英語、法語	否
`channelType`	用戶與應用程式互動的不同平台	字串	網路、手機、平板電腦	否
`firstName`	客戶的名字	字串		是
`middleName`	客戶的中間名	字串		否
`lastName`	客戶的姓氏	字串		否
`email`	客戶的電子郵件地址	字串		否
`programAccount`	Loyalty-related 訊息	programAccount	有關物件詳細信息，請參閱下面的 `Add loyalty` -> `programAccount` 部分	否

範例使用者資訊 CURL

curl --location 'https://example.com/userinfo' \
--header 'client_id: {clientId}' \
--header 'Authorization: Bearer {acess_token from token endpoint}'

範例 Userinfo 響應

{
  "membershipId": "12345678",
  "languageID": "en",
  "middleName": "MiddleName",
  "lastName": "LastName",
  "firstName": "FirstName",
  "email": "test@expediagroup.com",
  "programAccount": {
    "programId": "Gold",
    "loyaltyAccountBalance": {
      "value": "10000",
      "currency": "Points"
    }
  }
}

新增會員計畫

您可以在範本網站中，加入讓旅客透過購買旅遊相關產品賺取會員點數的功能。如果想要，您的範本也可讓旅客使用累積的會員點數來購買旅遊相關產品。

適用與標準實作相同的設定需求，許多值也相同。這裡只包含不同的值。

除了標準user information之外，忠誠度計畫設定還將包括以下值。

programAccount

欄位	說明	資料類型	是否為必要？
`programId`	旅客所屬會員計畫的識別碼，或與會員計畫相關聯的等級名稱	字串	是
`loyaltyAccountNumber`	旅客的會員帳號；只有在會員計畫作業需要次要識別碼 (唯一 `membershipId` 以外的識別碼) 時才應填入	字串	否
`lastFourDigitsOfCreditCard`	旅客預訂時所用信用卡的末 4 碼	整數	否
`accountName`	計畫名稱 (如果與等級名稱不同)	字串	否
`loyaltyConversionRatio`	付款轉換為賺取點數的比率 (例如 $1 = 1 點)	雙精度	否
`loyaltyAccountBalance`	旅客所賺取會員點數的目前餘額	金額 (有關對象詳細信息，請參閱下面的金額部分)	否

金額

欄位	說明	資料類型	是否為必要？
`value`	會員點數餘額；嵌入至 `loyaltyAccountBalance` 下方	隆	是
`currency`	會員計畫所使用的獎勵幣別，例如貨幣類型、點數、英里；嵌入至 `loyaltyAccountBalance` 下方	字串	是