選擇鑑權方式

按調用主體選擇

• 用戶檔案和代用戶操作：Authorization Code + PKCE，獲得用戶access token。
• 服務調用：僅在端點允許服務/組織身份、client已登記相應grant與scope時使用client_credentials。
• 安全後臺腳本：端點允許API Key時使用 X-API-Key，仍檢查主體與scope；不要分發到瀏覽器、移動客戶端或公開倉庫。
• 無身份公共調用：只有API Reference明確允許無憑據時才直接調用。

GET /v1/users/me需要User身份和 user:profile:read。獲取服務token成功不代表它能讀取用戶檔案。示例使用合法用戶OAuth憑據，見快速開始。

創建應用後，在Credentials單獨創建OAuth client。Public client使用PKCE，不發secret；Confidential client的secret只存後端。應用創建、用戶授權、服務授權。