Hitelesítés

A Haszno API különböző hitelesítési mechanizmusokat használ a végponttól és a telepítés típusától függően. Ez az oldal mindegyiket elmagyarázza, és leírja, mi érhető el ma.

Mechanizmusok áttekintése

Nyilvános demó — nincs szükség hitelesítési adatokra

Egyes GET-végpontok szintetikus demóadatot adnak vissza bármilyen hitelesítési adat nélkül. Ha teljesen kihagyod az Authorization fejlécet, a válasz hitelesítés nélkül kerül kiszolgálásra. Ha küldesz Authorization fejlécet, a kérés a HTTP Basic falon megy át: érvénytelen adatokkal 401-et kapsz, érvényes Basic fejléccel pedig a telepítés megosztott adatait kapod a szintetikus adatok helyett.

A https://haszno.com-on hitelesítési adatok nélkül elérhető végpontok Nyilvános Csak olvasás:

A /api/settings és /api/impact válaszokban szerepel a "demo": true mező. A többi demóvégpont (kategóriák, termékek, beszállítók, statisztikák, rendelések, javaslatok, peerek, import-lista) ezt a jelzőt nem tartalmazza.

HTTP Basic hitelesítés — védett demóhozzáférés

A https://haszno.com hosztolt demójának van egy külső hitelesítési fala, amely a fenti nyilvános listán nem szereplő végpontokat védi, kivéve néhányat, amelynek saját védelme van, például a fiók- és munkamenet-végpontokat. Ez a fal HTTP Basic hitelesítést használ.

Hitelesítési adatok Védett:

username: demo
password: <keresd meg a Haszno csapatát>

Ez egy megosztott hitelesítési adat a demótelepítéshez. Nem boltonkénti, és nem éles API. A jelszóért vedd fel a kapcsolatot a Haszno csapatával.

Küldd el a hitelesítési adatot szabványos Authorization: Basic fejlécként:

curl --fail-with-body \
  --user 'demo:<jelszó>' \
  'https://haszno.com/api/rules'

Vagy a CLI és az MCP-szerver által is olvasott HASZNO_BASIC környezeti változóval:

export HASZNO_BASIC='demo:<jelszó>'
haszno rules list --json

HTTP Basic hozzáféréssel meghívhatod az összes hitelesítést igénylő végpontot, beleértve az írási műveleteket is (rendelésbeküldés, szabálykezelés, feed-import, beállítások frissítése).

API Bearer-tokenek

Az API Bearer-tokeneket agentek, CLI és MCP-szerver általi hozzáféréshez tervezték. A tervezett hosszú távú mechanizmus a boltonkénti programozott hozzáférésre.

Token formátuma

A tokeneket haszno_<43 karakter> alakban adják ki, ahol a 43 karakter base64url (A–Z, a–z, 0–9, -, _). A haszno_-val kezdődő teljes sztring a tokenérték, amelyet el kell küldeni.

Authorization: Bearer haszno_<a-te-tokened>

Token létrehozása

1. Regisztrálj a https://haszno.com oldalon (a POST /api/auth/register végponton) vagy lépj be (POST /api/auth/login). Mindkettő munkamenet-cookie-t ad vissza.
2. A munkamenet-cookie-val hívd meg a POST /api/auth/tokens végpontot {"name": "…", "scope": "read"} JSON-törzzsel (a scope értéke read vagy write, alapértelmezés: read) egy token kiadásához.
3. Másold ki a válasz token mezőjét — csak egyszer jelenik meg, és csak hashként tárolódik.

Az aktív tokeneket listázhatod (GET /api/auth/tokens) és visszavonhatod (DELETE /api/auth/tokens/:id) ugyanazzal a munkamenet-cookie-val. Tokenekkel nem kezelhetsz tokeneket: ez a három végpont csak a munkamenet-cookie-t fogadja el.

Mire használhatók ma a Bearer-tokenek

Tervezett: boltonkénti Bearer-tokenek a haszno.com-on, amint a multi-tenancy kikerül a fejlesztői előzetesből.

x-api-key — csak saját telepítésen

Saját Haszno-példányon beállíthatod a HASZNO_API_KEY környezeti változót. Az összes kérés, amely ezt az értéket az x-api-key fejlécben vagy ?api_key= lekérdezési paraméterként tartalmazza, munkamenet nélkül is elfogadásra kerül.

Ez a mechanizmus nem aktív a haszno.com-on. A hosztolt telepítésen nincs beállítva a környezeti változó.

A hitelesítési adatok biztonságos tárolása

• Tárolj hitelesítési adatokat környezeti változókban, ne forráskódban vagy verziókezelt konfigurációs fájlokban.
• A demójelszóhoz használd a HASZNO_BASIC-ot, az API-kulcshoz a HASZNO_API_KEY-t. A CLI és az MCP-szerver ezeket automatikusan olvassa.
• Futtasd a haszno login parancsot a hitelesítési adatok mentéséhez (~/.config/haszno/config.json, chmod 600 jogosultsággal létrehozva). Mind a CLI, mind az MCP-szerver olvas ebből a fájlból.
• Soha ne adj meg hitelesítési adatot parancssori argumentumként megosztott shell-környezetben — megjelenik a ps kimenetében és a shell-előzményekben.
• Listázd az aktív tokeneket a GET /api/auth/tokens végponttal; vond vissza a feleslegeseket a DELETE /api/auth/tokens/:id végponttal.

Hibaválaszok

A hibaüzenetek törzse mindig a { "error": "Magyar hibaüzenet" } alakot követi. A teljes hibareferenciáért lásd a Hibák és sebességkorlátok oldalt.