选择鉴权方式

按调用主体选择

• 用户档案和代用户操作：Authorization Code + PKCE，获得用户access token。
• 服务调用：仅在端点允许服务/组织身份、client已登记相应grant与scope时使用client_credentials。
• 安全后台脚本：端点允许API Key时使用 X-API-Key，仍检查主体与scope；不要分发到浏览器、移动客户端或公开仓库。
• 无身份公共调用：只有API Reference明确允许无凭据时才直接调用。

GET /v1/users/me需要User身份和 user:profile:read。获取服务token成功不代表它能读取用户档案。示例使用合法用户OAuth凭据，见快速开始。

创建应用后，在Credentials单独创建OAuth client。Public client使用PKCE，不发secret；Confidential client的secret只存后端。应用创建、用户授权、服务授权。