Области OAuth и границы учетной записи

Область — это именованное разрешение, запрашиваемое приложением и утверждаемое в рамках авторизации. Проверьте области, возвращенные с токеном; запрос разрешения не доказывает, что оно было предоставлено.

Область	Значение	Используйте это, когда
openid	Требуется для управляемого входа Builder и клиент-специфического субъекта.	Ваше приложение выполняет вход клиента ShareAI.
profile	Разрешенные утверждения профиля для выбранного аккаунта.	Вашему приложению необходимо отображаемое имя.
email	Утверждения электронной почты, где это разрешено для выбранного аккаунта.	Вашему приложению необходимо утверждение электронной почты, прошедшее одобрение.
surcharge	Авторизует выполнение вывода данных в рамках принятого соглашения об использовании приложения.	Выбранный аккаунт ShareAI будет финансировать выполнение вывода данных приложения.

Доступ только к идентичности#

Грант, содержащий openid profile email без surcharge не предоставляет доступ к балансу или оплачиваемому выводу данных. Также он не авторизует операции через Provider API, Device API или Creator API. Эти интерфейсы имеют свои собственные учетные данные и правила.

Кто авторизует?#

Пользователь может авторизовать свой личный аккаунт или организацию, для которой у него есть необходимые полномочия. Публичный субъект ограничен OAuth-клиентом и аккаунтом. Сохраняйте этот непрозрачный субъект вместо необработанного идентификатора пользователя WordPress, идентификатора провайдера или субъекта, полученного от другого клиента.

Конфиденциальность организации#

Авторизация организации идентифицирует организацию. Не предполагайте, что она включает личную электронную почту, отображаемое имя или аватар администратора, который одобряет. Рассматривайте отсутствующие необязательные утверждения как отсутствующие и проектируйте ваше приложение так, чтобы они не требовались неожиданно.

Запрашивайте меньше областей при обновлении#

Запрос обновления может сузить область действия полученного токена доступа. Он не может добавить разрешение, которое грант никогда не авторизовал. Чтобы добавить доступ к выводу данных или одобрить более высокий сбор, отправьте клиента через новую интерактивную авторизацию.

Разрешения провайдера и устройства являются отдельными#

Области действия Provider API применяются к токенам доступа провайдера. Доступ к Device API связан с одной отношением провайдер–устройство; не придумывайте имена областей OAuth для этого.