什麼是機器對機器 (M2M) 驗證？
機器對機器 (M2M) 驗證是一種讓兩個應用程式或服務在沒有使用者介入的情況下安全通訊的流程。與密碼或 API 金鑰不同，每個服務使用自己的 Client ID 和 Client Secret 來請求短期存取權杖。這確保了安全、可稽核且可撤銷的服務對服務驗證，廣泛應用於後端整合、微服務和 IoT 系統。
閱讀文件使用 M2M Token 的優點
常見使用情境
應用程式後端
在內部與外部服務之間安全地傳輸資料、日誌或檔案。
CLI 工具
讓命令列工具透過短效、限定範圍的權杖安全存取 API。
排程工作與常駐程式
授權 cronjob、工作排程器和背景工作者安全有效地與 API 互動。
IoT 裝置
讓智慧裝置自動向您的雲端服務傳送遙測資料或命令，每個裝置均獨立驗證和範圍設定。
運作方式
註冊您的資源
將 API 新增至 Authgear 並為每個 API 定義範圍（權限）
註冊您的應用程式
為每個需要 API 存取權限的後端、裝置或工具建立一個用戶端應用程式。指定服務可使用的資源和範圍
取得憑證
每個應用程式將獲得唯一的 client ID 和 secret
請求權杖
應用程式使用 /oauth/token 端點向 Authgear 驗證，並接收僅包含您指定範圍的短效存取權杖。
存取受保護的 API
服務在 Authorization 標頭中使用 bearer token 來呼叫您的 API
常見問題 (FAQ)
什麼是機器對機器 (M2M) 驗證？
M2M 驗證是一種允許服務或應用程式在沒有使用者憑證的情況下安全通訊的方法。服務之間交換 M2M token（短效存取權杖）透過 OAuth Client Credentials Flow。
OAuth Client Credentials Flow 如何運作？
Client Credentials Flow 直接向機器或服務（非使用者）發放存取權杖。服務使用其 Client ID 和 Secret 進行驗證，並取得可用於存取受保護 API 的 JWT token。
為什麼使用 M2M token 而非 API 金鑰？
M2M token 具有短效、限定範圍和可撤銷的特性。與靜態 API 金鑰不同，它們透過限制曝露範圍和提供細粒度存取控制來提升安全性。
我可以將 M2M 驗證用於微服務嗎？
可以。M2M 驗證常用於 微服務對微服務通訊，確保安全的後端 API 呼叫而不嵌入靜態密鑰。