OAuth2 提供者

Gitea 支持作为 OAuth2 提供者，允许第三方应用程序在用户同意的情况下访问其资源。此功能自 1.8.0 版起可用。

端点

支持的 OAuth2 授权

目前 Gitea 仅支持 Authorization Code Grant 标准，并额外支持以下扩展：

• Proof Key for Code Exchange (PKCE)
• OpenID Connect (OIDC)

要将 Authorization Code Grant 作为第三方应用程序，您需要通过在设置中添加一个新的 “应用程序” (/user/settings/applications)。

范围

Gitea 支持以下令牌范围:

客户端类型

Gitea 支持私密和公共客户端类型，参见 RFC 6749.

对于公共客户端, 允许在本地回环地址的重定向 URI 中使用任意端口，例如 http://127.0.0.1/。根据 RFC 8252 的建议，请避免使用 localhost。

示例

注意： 该示例中尚未使用 PKCE。

1. 将用户重定向到授权端点，以获得他们的访问资源授权:

   https://[YOUR-GITEA-URL]/login/oauth/authorize?client_id=CLIENT_ID&redirect_uri=REDIRECT_URI& response_type=code&state=STATE

   在设置中注册应用程序以获得 CLIENT_ID。STATE 是一个随机字符串，它将在获得用户授权后发送回您的应用程序。state 参数是可选的，但您应该使用它来防止 CSRF 攻击。

   

   用户将会被询问是否授权给您的应用程序。如果他们同意了授权，用户将会被重定向到 REDIRECT_URL，例如：

   https://[REDIRECT_URI]?code=RETURNED_CODE&state=STATE

2. 使用重定向提供的 code，您可以请求一个新的应用程序和 Refresh Token。Access Token Endpoint 接受 application/json 或 application/x-www-form-urlencoded 类型的 POST 请求，例如：

   POST https://[YOUR-GITEA-URL]/login/oauth/access_token

   {
     "client_id": "YOUR_CLIENT_ID",
     "client_secret": "YOUR_CLIENT_SECRET",
     "code": "RETURNED_CODE",
     "grant_type": "authorization_code",
     "redirect_uri": "REDIRECT_URI"
   }

   返回：

   {
     "access_token": "eyJhbGciOiJIUzUxMiIsInR5cCI6IkpXVCJ9.eyJnbnQiOjIsInR0IjowLCJleHAiOjE1NTUxNzk5MTIsImlhdCI6MTU1NTE3NjMxMn0.0-iFsAwBtxuckA0sNZ6QpBQmywVPz129u75vOM7wPJecw5wqGyBkmstfJHAjEOqrAf_V5Z-1QYeCh_Cz4RiKug",
     "token_type": "bearer",
     "expires_in": 3600,
     "refresh_token": "eyJhbGciOiJIUzUxMiIsInR5cCI6IkpXVCJ9.eyJnbnQiOjIsInR0IjoxLCJjbnQiOjEsImV4cCI6MTU1NzgwNDMxMiwiaWF0IjoxNTU1MTc2MzEyfQ.S_HZQBy4q9r5SEzNGNIoFClT43HPNDbUdHH-GYNYYdkRfft6XptJBkUQscZsGxOW975Yk6RbgtGvq1nkEcklOw"
   }

   CLIENT_SECRET 是生成给应用程序的唯一密钥。请注意，该密钥只会在您使用 Gitea 创建/注册应用程序后出现一次。如果您丢失了密钥，您必须在应用程序设置中重新生成密钥。

   access_token 请求中的 REDIRECT_URI 必须与 authorize 请求中的 REDIRECT_URI 相符。

3. 使用 access_token 来构造 API 请求 以读写用户的资源。