API ouverte de consultation des autorisations

L’API ouverte se trouve sous /api/v1/open/. Elle n’accepte que les jetons Bearer émis par le serveur d’autorisation, sans cookie et sans jeton CSRF ; un jeton révoqué, ou dont l’autorisation est retirée, cesse immédiatement de fonctionner.

Interfaces

Exemples

curl -H "Authorization: Bearer $TOKEN" https://grantforge.example.com/api/v1/open/me/authorization

{
  "application": "shop",
  "accountId": "100203911213113344",
  "tenantId": "100203900000000000",
  "username": "sam",
  "version": 8121,
  "roles": ["shop-buyers"],
  "resources": ["shop.orders", "shop.orders.btn.create"],
  "permissions": ["orders.read", "orders.create"],
  "computedAt": "2026-10-05T03:12:45Z"
}

Les identifiants de compte, de locataire et autres sont renvoyés sous forme de chaînes, car ils dépassent la plage d’entiers que JavaScript représente exactement ; version est le numéro de version des autorisations.

Cache et version

Les réponses d’authorization et de data-access portent un ETag. Mettez la réponse en cache et joignez If-None-Match à la demande suivante : si les autorisations n’ont pas changé, un 304 est renvoyé, avec un coût quasi nul. Tout changement d’autorisation, d’affectation, de catalogue de ressources ou de politique de données modifie le numéro de version. Les SDK mettent en cache 30 secondes par défaut, puis revérifient avec l’ETag.

Déclarer des entités de données

L’application déclare ses entités de données avec son client confidentiel propre (identifiants du client + scope catalog) :

{
  "entities": [
    {
      "code": "order",
      "name": "Commande",
      "owned": true,
      "unitBased": false,
      "fields": [
        { "code": "status", "name": "Statut", "type": "CHOICE", "choices": ["NEW", "PAID", "SHIPPED"] },
        { "code": "total", "name": "Montant", "type": "NUMBER" }
      ]
    }
  ]
}

Après la déclaration, les entités apparaissent sous la forme <code d’application>:<code d’entité> (par exemple shop:order) dans l’éditeur d’autorisations sur les données des rôles. owned indique qu’une ligne de données a un compte propriétaire (la portée « moi » est alors disponible), unitBased indique qu’une ligne de données appartient à un service (les portées de service sont alors disponibles). Les applications Java n’ont pas besoin d’écrire cette requête à la main : le starter la déclare automatiquement à partir d’@GrantForgeEntity.

Erreurs

Toutes les erreurs sont des problem details RFC 9457, avec un code et un requestId :