Authorization Code Akışı

Authorization Code akışı iki HTTP adımından oluşur: kullanıcının tarayıcısında yetkilendirme, sunucunuzda token değişimi.

Adım 1 — Kullanıcıyı yetkilendirmeye yönlendirin

Kullanıcıyı aşağıdaki URL’e yönlendirin. URL parametrelerini uygun şekilde doldurun ve scope değerini boşluk ile ayırın.

https://dev.flextell.ai/oauth/authorize
  ?response_type=code
  &client_id=SIZIN_CLIENT_ID
  &redirect_uri=https%3A%2F%2Fapp.example.com%2Fcallback
  &scope=customers%3Aread%20appointments%3Aread
  &state=RASTGELE_STRING

Query parametreleri

string

required

Her zaman code değerini gönderin.

string

required

OAuth uygulamanızın client_id değeri.

string

required

Uygulamanızda kayıtlı redirect_uri değerlerinden biriyle birebir eşleşmelidir. URL-encode edilmiş olarak gönderin.

string

required

Talep ettiğiniz scope’lar, boşluk ile ayrılmış. Uygulamanız oluşturulurken seçtiğiniz scope’ların alt kümesi olmalıdır.

string

required

CSRF koruması için rastgele üretilmiş bir değer. Callback’te aynı değeri alıp karşılaştırmalısınız.

Kullanıcı deneyimi

Kullanıcı daha önce Flextell’e giriş yapmamışsa bir login ekranı görür, sonra uygulamanızın talep ettiği izinleri gösteren bir onay ekranı görür. Onay verdiğinde Flextell onu redirect_uri’ye yönlendirir:

https://app.example.com/callback?code=def50200abcdef&state=RASTGELE_STRING

Kullanıcı reddederse:

https://app.example.com/callback?error=access_denied&state=RASTGELE_STRING

Callback’te önce state değerinin gönderdiğiniz değerle eşleşip eşleşmediğini kontrol edin. Eşleşmiyorsa isteği reddedin.

Adım 2 — code’u access token ile değişin

Sunucunuzdan token endpoint’ine bir POST atın. Bu istek yalnızca backend’den yapılmalıdır — client_secret tarayıcıda ifşa edilmemelidir.

curl --request POST \
  --url https://dev.flextell.ai/oauth/token \
  --header "Content-Type: application/x-www-form-urlencoded" \
  --data "grant_type=authorization_code" \
  --data "code=AUTHORIZATION_CODE" \
  --data "client_id=SIZIN_CLIENT_ID" \
  --data "client_secret=SIZIN_CLIENT_SECRET" \
  --data "redirect_uri=https://app.example.com/callback"

POST /oauth/token HTTP/1.1
Host: dev.flextell.ai
Content-Type: application/x-www-form-urlencoded

grant_type=authorization_code
&code=AUTHORIZATION_CODE
&client_id=SIZIN_CLIENT_ID
&client_secret=SIZIN_CLIENT_SECRET
&redirect_uri=https%3A%2F%2Fapp.example.com%2Fcallback

const params = new URLSearchParams({
  grant_type: "authorization_code",
  code: "AUTHORIZATION_CODE",
  client_id: process.env.FLEXTELL_CLIENT_ID,
  client_secret: process.env.FLEXTELL_CLIENT_SECRET,
  redirect_uri: "https://app.example.com/callback",
});

const res = await fetch("https://dev.flextell.ai/oauth/token", {
  method: "POST",
  headers: { "Content-Type": "application/x-www-form-urlencoded" },
  body: params,
});

const tokens = await res.json();

Başarılı yanıt

{
  "token_type": "Bearer",
  "expires_in": 1296000,
  "access_token": "eyJ0eXAiOiJKV1Q...",
  "refresh_token": "def502004d5c..."
}

string

Her zaman "Bearer".

integer

Access token’ın geçerlilik süresi, saniye cinsinden (1296000 = 15 gün).

string

API isteklerinde Authorization: Bearer <token> olarak gönderin.

string

30 gün içinde access token yenilemek için kullanın. Detay: Token Yenileme.

string

Yalnızca openid scope’u talep edildiyse döner. Kullanıcının kimliğini kanıtlayan RS256 imzalı JWT. Detay: OpenID Connect.

Yetkilendirme sırasında scope=openid ... ekleyerek OIDC akışını başlatabilirsiniz; yanıtta ekstra bir id_token alırsınız. Kullanıcı bilgisi için profile, email, phone scope’larını da ekleyebilirsiniz. Tüm detaylar: OpenID Connect.

Hata yanıtları

HTTP	`error`	Sebep
400	`invalid_request`	Zorunlu parametre eksik veya geçersiz biçimde.
400	`invalid_grant`	`code` daha önce kullanılmış, süresi dolmuş veya farklı bir `redirect_uri` ile gönderilmiş.
401	`invalid_client`	`client_id` veya `client_secret` hatalı.
400	`unsupported_grant_type`	`grant_type` değeri desteklenmiyor.

{
  "error": "invalid_grant",
  "error_description": "The authorization code has expired",
  "message": "The authorization code has expired"
}

PKCE (tek sayfa / mobil uygulamalar)

client_secret saklayamayan istemciler (SPA, native mobile) için PKCE (Proof Key for Code Exchange) kullanılmalıdır. Yetkilendirme URL’ine code_challenge + code_challenge_method=S256 ekler, token değişiminde client_secret yerine code_verifier gönderirsiniz.

curl --request POST \
  --url https://dev.flextell.ai/oauth/token \
  --data "grant_type=authorization_code" \
  --data "code=..." \
  --data "client_id=SIZIN_CLIENT_ID" \
  --data "code_verifier=ORIJINAL_VERIFIER" \
  --data "redirect_uri=https://app.example.com/callback"

Tam akış, örnek kodlar ve güvenlik kontrol listesi için: PKCE Akışı.

Access token’ı kullanma

Token’ı aldıktan sonra her API isteğinde Authorization header’ı ile gönderin. Multi-tenant endpoint’lerde ayrıca X-Tenant header’ı da gerekir:

curl --request GET \
  --url https://dev.flextell.ai/api/v1/customers \
  --header "Authorization: Bearer eyJ0eXAi..." \
  --header "X-Tenant: 12"

Detaylar için İstek Header’ları sayfasına bakın.

Başlarken

Kimlik Doğrulama

Multi-Tenancy

İstekler

Hesap & Yetki

Kullanıcılar

Hasta Yönetimi

Randevu & Tedavi

Mesajlaşma

Operasyon & Loglar

Satış & Finans

Ürün Yönetimi

Stok Yönetimi

Ayarlar

AI

Realtime

Entegrasyonlar

Rehberler

Kaynaklar

Authorization Code Akışı

Adım 1 — Kullanıcıyı yetkilendirmeye yönlendirin

Query parametreleri

Kullanıcı deneyimi

Adım 2 — code’u access token ile değişin

Başarılı yanıt

Hata yanıtları

PKCE (tek sayfa / mobil uygulamalar)

Access token’ı kullanma

​Adım 1 — Kullanıcıyı yetkilendirmeye yönlendirin

​Query parametreleri

​Kullanıcı deneyimi

​Adım 2 — code’u access token ile değişin

​Başarılı yanıt

​Hata yanıtları

​PKCE (tek sayfa / mobil uygulamalar)

​Access token’ı kullanma

Adım 1 — Kullanıcıyı yetkilendirmeye yönlendirin

Query parametreleri

Kullanıcı deneyimi

Adım 2 — code’u access token ile değişin

Başarılı yanıt

Hata yanıtları

PKCE (tek sayfa / mobil uygulamalar)

Access token’ı kullanma