OneSpan Sign Release 11.34: API-Token für Client-Anwendung

Duo Liang, 3. Juni 2020

OneSpan Sign Version 11.34 wurde kürzlich in der Vorschau- und Sandbox-Umgebung bereitgestellt. In dieser neuen Version haben wir kontinuierlich neue Funktionen für die New Signer Experience bereitgestellt, wie z. B. die Vorschau von Anhängen, die Unterstützung für persönliches Signieren und einen verbesserten Navigator. Darüber hinaus haben Entwickler spannende Funktionen übernommen, wie die Möglichkeit, die Transaktionsbearbeitungsseite in einen iFrame einzubetten und die zweite Authentifizierungsmethode für API-Aufrufe, die wir in diesem Blog vorstellen werden

Die Bereitstellungstermine für alle unsere Umgebungen finden Sie auf unserer Trust Center-Seite.

Client-Anwendung API-Token

OneSpan Sign bietet einfache und flexible API-Schnittstellen, die von Ihrer integrierten Anwendung genutzt werden können. Früher musste bei jedem eingehenden Anruf ein sicherer API-Schlüssel zur Authentifizierung gegenüber der API angegeben werden. Dies ist jedoch nicht mehr der Fall. Mit 11.34 bietet OneSpan Sign jetzt eine alternative Authentifizierungsmethode, bei der Sie Client-ID- und Secret-Paare für Ihre Integrationen von Drittanbietern registrieren können. Diese Paare können wiederum verwendet werden, um ein sicheres, aber kurzlebiges API-Token zu erzeugen, das Ihre API-Anfragen authentifiziert

Schritt 1: Einschalten der Funktion

Um zu überprüfen, ob die Funktion in Ihrem Konto aktiviert wurde, melden Sie sich einfach im Absenderportal Ihres Kontoinhabers an, klicken Sie auf das Dropdown-Menü "Admin" im oberen Menü und wählen Sie "API-Zugang". Gehen Sie auf der Seite "API Access" in den Bereich "Client Apps" (siehe Screenshot unten)

6-3-1

Hinweis: Wenn Sie den Bereich "Client Apps" nicht finden können, wenden Sie sich an unser Support-Team und wir werden die Funktion für Ihr Konto aktivieren

Schritt2: Registrieren für die Client-Anwendung

Der nächste Schritt besteht darin, ein Paar aus Client-ID und Geheimnis für Ihr Client-System zu registrieren. Wenn Sie mehrere integrierte Anwendungen haben, könnten Sie für jede Integration ein eigenes Paar erstellen, so dass der API-Verkehr für jede Client-Anwendung separat protokolliert und überwacht werden kann.

Klicken Sie nun auf die Schaltfläche "Hinzufügen", und es wird eine Seitenleiste "Client-App erstellen" angezeigt.

6-8-1

Sowohl die Client-ID als auch das Geheimnis werden verwendet, um das temporäre API-Token abzurufen. Das Geheimnis wird nur einmal angezeigt, daher ist es wichtig, dieses Geheimnis an einem sicheren Ort zu speichern.

Schritt 3: Beantragung eines Zugangstokens

Das Paar aus Client-ID und Geheimnis kann später zum Anfordern eines kurzlebigen Zugriffstokens mit dem unten stehenden API-Aufruf verwendet werden:

HTTP-Anfrage

POST /apitoken/clientApp/accessToken

HTTP-Header

Akzeptieren: application/json Inhalt-Typ: application/json

Nutzlast anfordern

{ "clientId": "your_client_id", "secret": "your_client_secret", "type": "OWNER" }

Die verfügbaren Optionen für das Feld "Typ" sind "OWNER" und "SENDER". Wenn letzteres, ist das Feld "E-Mail" erforderlich:

{ "clientId": " your_client_id ", "secret": " your_client_secret ", "type": "SENDER", "email": "sender_email" }

Durch die Angabe des Typs und der E-Mail wird bestimmt, wer der autorisierte Benutzer ist, wenn das temporäre Zugriffstoken später für API-Anforderungen verwendet wird.

Beispiel Antwort

{ "accessToken": "17270a2f8960e84937478a60013404", "expiresAt": 1591029428203 }

Das Zugriffstoken wird von der API-Antwort zurückgegeben, zusammen mit der Verfallszeit, die in einem Linux-Zeitstempel dargestellt wird

Schritt 4: Verwenden Sie Access Token zur Authentifizierung Ihrer API-Aufrufe

Bevor das Zugriffstoken abläuft, können Sie es immer zur Authentifizierung Ihrer API-Aufrufe verwenden. Ähnlich wie bei der Verwendung des API-Schlüssels würden Sie den HTTP-Header "Authorization" auf "Bearer" setzen, gefolgt von dem in Schritt 3 generierten Zugriffstoken. Die Paketabruf-API ist hier ein gutes Beispiel:

HTTP-Anfrage

GET /api/packages/{packageId}

HTTP-Header

Accept: application/json; esl-api-version=11.21 Authorization: Bearer 17270a2f8960e84937478a60013404

SDK-Unterstützung

Für SDK-Integratoren werden die obigen Schritte 3 und 4 intern aufgerufen, was Ihnen bei der Authentifizierung mit dem API-Schlüssel die gleiche nahtlose Erfahrung wie zuvor bietet. Es wurde eine neue Konstruktor-Signatur für "EslClient" eingeführt, mit der Sie die API-Token-bezogenen Parameter angeben können

public EslClient(ApiTokenConfig apiTokenConfig, String baseURL, boolean allowAllSSLCertificates, ProxyConfiguration proxyConfiguration, boolean useSystemProperties, Map headers)

Probieren Sie es doch einmal in der Praxis aus:

String BASE_API_URL = "https://sandbox.esignlive.com"; String CLIENT_APP_ID = "your_client_id"; String CLIENT_APP_SECRET = "your_client_secret"; EslClient eslClient = new EslClient(ApiTokenConfig .newBuilder() .clientAppId(CLIENT_APP_ID) .clientAppSecret(CLIENT_APP_SECRET) .baseUrl(BASE_API_URL) .tokenType(TokenType.OWNER) //.senderEmail("sender_email") //no need to specify sender email if type is OWNER .build() , BASE_API_URL + "/api", false, null, false, new HashMap()); String applicationVersion = eslClient.getSystemService().getApplicationVersion(); System.out.println(applicationVersion);

So einfach können Sie ein EslClient-Objekt erstellen und SDK-Funktionen aufrufen. Das SDK hilft Ihnen, den Lebenszyklus des generierten Zugriffstokens zu verwalten, wobei das SDK ein API-Token abruft, das im EslClient-Objekt gespeichert ist. Für dasselbe EslClient-Objekt wird der interne Rest-Client also kein neues API-Token anfordern, wenn das Token nicht in einer Minute abläuft.

Hinweis:

  • Stellen Sie sicher, dass Ihre SDK-Version gleich oder größer als 11.34 ist.
  • Wenn Sie von API Key zu API Token migrieren, sind Sie vielleicht mit der anderen Konstruktorsignatur vertrauter: "public EslClient(String apiKey, String baseURL)". Wenn Sie sich nicht sicher sind, welche Werte Sie beim Konvertieren in den neuen Konstruktor übergeben sollen, sehen Sie sich das obige Beispiel an, in dem ich alle Eingabeparameter als Standardwerte festgelegt habe
  • Die vom "ApiTokenConfig"-Builder benötigte Basis-URL sollte "/api" im Pfad ausschließen
  • Wenn ein API-Token für den Kontoinhaber erstellt wird, muss keine Absender-E-Mail angegeben werden.

Da ist es. Nachdem Sie den heutigen Blog durchgelesen haben, haben Sie eine bessere Vorstellung davon, wie Sie die Client-Anwendung registrieren und das API-Token zur Authentifizierung Ihrer API-Anfragen generieren.

Wenn Sie Fragen zu diesem Blog oder zu anderen Aspekten der Integration von OneSpan Sign in Ihrer Anwendung haben, besuchen Sie die Entwickler-Community-Foren . Ihr Feedback ist uns wichtig!

OneSpan Sign-Entwickler-Community

OneSpan Sign-Entwickler-Community

Treten Sie der OneSpan Sign Developer Community bei! Foren, Blogs, Dokumentationen, SDK-Downloads und mehr.

Tritt heute bei