OAuth 2.0
授权授予类型
| 授予类型 | 使用场景 | 安全性 | 何时使用 |
|---|---|---|---|
| Authorization Code | 服务端 Web 应用 | 高 | Web 应用程序最常见的流程 |
| Authorization Code (With PKCE) | 移动/SPA 应用 | 非常高 | 为公共客户端提供增强安全性 |
| Implicit | 基于浏览器的应用（旧版） | 中 | 已弃用，请改用 PKCE |
| Password Credentials | 受信任的第一方应用 | 中 | 直接进行用户名/密码交换 |
| Client Credentials | 机器到机器 | 高 | 服务到服务认证 |
授予类型选择
配置：Authorization Code
必填字段
| 字段 | 描述 | 来源 |
|---|---|---|
| Auth URL | 授权端点 URL | API 提供商的 OAuth 文档 |
| Access Token URL | 令牌端点 URL | API 提供商的 OAuth 文档 |
| Callback URL | 你的应用程序重定向 URI | 你的应用程序（必须在提供商处注册） |
| Client ID | 你的应用程序标识符（App ID） | API 提供商的开发者控制台 |
| Client Secret | 你的应用程序密钥（App Secret） | API 提供商的开发者控制台 |
获取令牌
1.
2.
3.
4.
5.
6.
Bearer 前缀附加到 Authorization 头部。令牌类型选择
Access Token 和 ID Token，Apidog 默认会使用 Access Token。切换令牌类型
ID Token，请在 "Token Type Used" 选项中选择 ID Token。这在使用 OpenID Connect (OIDC) 实现时很有用。令牌刷新
切换登录账户
1.
2.
3.
高级设置
| 设置 | 描述 | 用途 |
|---|---|---|
| Scope | 授权范围 | 限制可访问资源的范围 |
| State | 随机字符串参数 | 防止跨站请求伪造（CSRF）攻击 |
| Credentials | 如何发送客户端凭据 | Send as Basic Auth header 或 Send client credentials in body |
| Refresh Token URL | 自定义刷新端点 | 如果不同于 Access Token URL，则使用此项 |
| HTTP Authorization Prefix | 头部中的令牌前缀 | 默认值为 Bearer，可按需自定义 |
安全最佳实践
State 参数来防止 CSRF 攻击。如果留空，Apidog 会自动生成此参数。常见问题
Modified at 2026-06-09 08:55:47