Права и данные
Приложение узнаёт о человеке ровно то, что он разрешил. Права (scopes) указываются при регистрации приложения и в запросе авторизации.
Права
| Право | Что даёт | Кому |
|---|---|---|
openid | Вход и постоянный идентификатор sub, id_token. | всем |
profile | Имя, логин, роли и теги аккаунта. | всем |
email | Адрес почты. | всем |
offline_access | Токен обновления — входить без повторного пароля до 30 дней. | всем |
courses | Курсы человека в школе UNIT и прогресс — API курсов. | всем |
accounts | Аккаунты UNIT для своего сервиса — API для сервисов. | только сервисам UNIT, выдаёт администратор |
Поля о человеке
Возвращаются в /oauth/userinfo и в id_token.
| Поле | Право | Описание |
|---|---|---|
sub | openid | Постоянный идентификатор аккаунта UNIT, например s-4kq9tz. Храните человека по нему. |
name | profile | Имя, как его видят в сервисах UNIT. |
preferred_username | profile | Часть почты до @. Может меняться и не обязана быть уникальной. |
unit_roles | profile | Роли: admin, teacher, student. |
unit_tags | profile | Теги аккаунта: сервисы, к которым есть доступ (например школа), роли и метки администратора. По ним удобно решать, что человеку можно в вашем приложении. |
email | email | Почта. |
email_verified | email | Всегда true: почты в UNIT заводит администратор. |
Согласие и его отзыв
При первом входе человек видит, какое приложение и какие права оно просит. Попросите новые права — экран появится снова, только с новыми правами. Человек может в любой момент отозвать доступ в профиле UNIT ID: все токены приложения для него перестанут действовать, а при следующем входе он увидит экран согласия заново.
Просите минимумПриложению, которому нужно только узнать, кто вошёл, достаточно
openid profile. Почта нужна, только если вы действительно пишете людям.