api - 后台应用程序的 Salesforce.com API 身份验证最佳实践

Question

Salesforce.com API 似乎假定您将始终以事件用户的身份使用该应用程序。它们的身份验证方法( session ID 和 OAuth)支持这一点，因为它们都需要经过身份验证的用户“做某事”。

当您有一个需要访问 API 的后台应用程序时，您的策略是什么？我看到的示例要求您提供完整的凭据 - 用户名、密码和安全 token 。我不仅不想知道或存储这些信息，而且它可能会改变(从密码策略等)，我不想让应用程序因此而中断。

对不需要用户交互的 SFDC API 进行长期身份验证的“最佳实践”是什么？

Answer 1

Salesforce.com API 请求在用户上下文中运行，由 sessionId(又名 access_token)标识(通过站点公开的未经身份验证的自定义 API 是一个异常(exception))。

因此，为了进行 API 调用，您将需要一个 sessionId，您可以通过存储用户名/密码/安全 token 并在需要时调用登录(或 oauth2 用户名/密码流程)来获取一个 session ID。

或者，您可以使用交互式 OAuth 流程，该流程要求用户仅对您的应用程序进行一次授权，此时您将获得一个长期存在的 token ，称为刷新 token 。在此之后的任何时候，您都可以使用 oauth2 token 服务仅使用刷新 token 来获取新的 access_token(然后可以进行 API 调用)。

似乎最后一种方法最能满足您的需求，这将只需要一次用户交互来初始授权您的应用程序。