Frappe Framework
Authentification par jeton (token)
Le jeton remplace l’identifiant de session. Il est formé d’une clé d’API, qui identifie l’utilisateur, et d’un secret, qui valide la requête.
À quoi sert le jeton
L’authentification par jeton (token) vérifie l’identité de qui tente d’accéder au serveur. Elle est disponible à partir de la version 11.0.3. Le service valide le jeton, puis traite la requête.
Les applications ont longtemps gardé l’identité dans un cookie de session, avec un identifiant stocké côté serveur. Ce stockage est propre à chaque serveur, ou constitue une couche à part. Le jeton évite ce stockage et peut réduire la charge du serveur.
Une fois le jeton émis, chaque requête l’emporte et l’application le valide. Il autorise les opérations CRUD, en RPC comme en API REST. Il est la combinaison d’une clé d’API (API Key), qui identifie l’utilisateur, et d’un secret d’API (API Secret), qui valide la requête.
Générer les clés
Pour chaque utilisateur, depuis l’interface, la ligne de commande ou un appel distant :
| Voie | Forme publiée |
|---|---|
| RPC | /api/method/frappe.core.doctype.user.user?user="user_name" |
| Commande | bench execute frappe.core.doctype.user.user --args ['user_name'] |
| Bureau | User, puis Api Access, puis Generate Keys |
L’usage du jeton dans une requête est renvoyé par la source vers le guide REST d’authentification par jeton : Authentification par jeton.
Points d’attention
- La clé d’API ne peut pas être régénérée.
- Seul un utilisateur avec le rôle System Manager peut générer les clés.
Cette page et la variante Authentification par jeton (token) — variante ne publient pas le même chemin RPC. Ici, le chemin s’arrête à frappe.core.doctype.user.user.