• Spotnana UI 向 Spotnana 服务器发送 API 请求，获取该用户的认证配置信息。请求参数中包含用户的登录凭证。
• 返回结果会包含用户的 tmcId、 orgId和 authProviderType。

• Spotnana UI 使用 clientId、邮箱和密码，向 Spotnana IdP 发送 API 请求。Spotnana IdP 会生成新的 bearer token 并返回给 Spotnana UI。
• 此步骤完成用户认证。

• 用户通过第 2 步认证后，后续所有 API 请求都必须在请求头中带上 bearer token、 orgId和 tmcId 。
• 所有 API 请求中的 bearer token 都会被校验，校验通过后再返回响应给 Spotnana UI。

• Spotnana UI 向 Spotnana 服务器发送 API 请求，获取该用户的认证配置信息。请求参数中包含用户的登录凭证。
• 返回结果会包含用户的 tmcId、 orgId和 authProviderType。

用户输入新密码后，点击 下一步。

• Spotnana UI 向 Spotnana IdP 发送 API 请求，注册用户信息，包括 clientId、邮箱和新密码。
• 注册完成后，系统会向用户邮箱发送一次性验证码（OTP）。

• 用户在 Spotnana UI 中输入 OTP 后，点击 验证。
• Spotnana UI 向 Spotnana IdP 发送请求，校验 OTP 并生成用于登录的 bearer token。
• bearer token 生成后返回给 Spotnana UI，表示用户已成功认证，可以使用 bearer token 访问 Spotnana 平台。

• 用户通过第 3 步认证后，后续所有 API 请求都必须在请求头中带上 bearer token、 orgId和 tmcId 。
• 所有 API 请求中的 bearer token 都会被校验，校验通过后再返回响应给 Spotnana UI。

• Spotnana UI 向 Spotnana 服务器发送 API 请求，获取该用户的认证配置信息。请求参数中包含用户的登录凭证。
• 返回结果会包含用户的 tmcId、 orgId和 authProviderType。

Spotnana UI 将请求重定向到 Spotnana IdP。

Spotnana IdP 再将请求重定向到合作伙伴的 IdP，正式发起用户的 IdP 认证流程。

说明： 每次重定向时，都会返回 302 状态码，表示请求已跳转到新的 URL。

Spotnana IdP 与合作伙伴 IdP 建立连接，用于确认用户已通过合作伙伴 IdP 的认证。

说明： 在此过程中，Spotnana IdP 会将 clientId 和 clientSecret 以 form URL-encoded 形式通过 API 发送给合作伙伴 IdP。如果 IdP 服务器无法处理该数据格式，Spotnana 服务器可以作为代理，转换为合作伙伴 IdP 能识别的格式。

合作伙伴 IdP 成功认证用户。

说明： 此时，用户资料还需要通过 bearer token 验证。

认证成功后，合作伙伴 IdP 会将认证结果返回给 Spotnana IdP。

Spotnana IdP 为该用户生成唯一 code，并返回给 Spotnana UI。

• Spotnana UI 使用 clientID 和第 5(b) 步获得的 code，向 Spotnana IdP 发送 API 请求。
• Spotnana IdP 生成新的 bearer token 并返回给 Spotnana UI。

说明： bearer token 创建成功，即表示用户已通过认证，可以访问 Spotnana。

• 用户通过第 6 步认证后，后续所有 API 请求都必须在请求头中带上 bearer token、 orgId和 tmcId 。
• 所有 API 请求中的 bearer token 都会被校验，校验通过后再返回响应给 Spotnana UI。

API 用户向 Spotnana 服务器的 POST 接口 get-auth-token(clientId,clientSecret) 发起请求，生成并获取临时 bearer token。

下面是调用 get-auth-token 接口的 cURL 请求示例：

curl -i -X POST \
https://api.spotnana.com/get-auth-token \
-H 'Content-Type: application/json' \
-d '{
  "clientId": "sample-apiuser@tmcorg.com",
  "clientSecret": "<password>"
}'

说明： 请将 clientId 和 clientSecret 替换为你从 Spotnana 获取的凭证。 

• Spotnana 服务器调用 Spotnana IdP 的 getToken(clientId,clientSecret) 方法，生成临时 bearerToken 并返回给 Spotnana 服务器。
• Spotnana 服务器将该 bearer token 以 JSON 格式返回给 API 用户。

合作伙伴 UI 向合作伙伴服务器发起 API 请求，获取 OAuth 令牌，进入后续认证流程。

合作伙伴服务器调用 Spotnana 服务器，传入用户凭证和 subject token。Spotnana 服务器会判断请求是否来自 API/机器用户。

• Spotnana 服务器调用合作伙伴服务器，获取 subject（即 caller）的邮箱。
• 邮箱信息返回给 Spotnana 服务器，用于识别用户身份。

• Spotnana 服务器将 access token 和 refresh token 返回给合作伙伴服务器，作为第 1 步 API 请求的响应。
• 这些信息随后会传递给合作伙伴 UI。

合作伙伴 UI 通过 post message，将 token 发送给 Spotnana UI，参数为 type=TOKEN_EXCHANGE_RESPONSE.

• Spotnana UI 向 Spotnana 服务器发起 API 请求，生成并获取新的 bearer token。
• Spotnana 服务器生成 bearer token 后返回给 Spotnana UI。

说明： bearer token 创建成功，即表示用户已通过认证，可以访问 Spotnana。

• 用户通过第 3 步认证后，后续所有 API 请求都必须在请求头中带上 bearer token、 orgId和 tmcId 。
• 所有 API 请求中的 bearer token 都会被校验，校验通过后再返回响应给 Spotnana UI。

合作伙伴 UI 调用合作伙伴服务器，获取 caller 的授权码。授权码返回给合作伙伴 UI。

合作伙伴 UI 通过自定义重定向 URL，将 tmcId 和 authCode 作为参数，发送请求到 Spotnana UI。

Spotnana UI 通过 POST API 向 Spotnana 服务器发起请求，接口为 v2/auth/token/companies/<tmcId>(authCode) 。

• Spotnana 服务器通过授权码，向合作伙伴服务器请求用户的 pid 。
• 用户的 pid 返回给 Spotnana 服务器。

Spotnana 服务器生成 access token 和 refresh token，并返回给 Spotnana UI。

• Spotnana UI 使用 access token 和 refresh token，向 Spotnana 服务器请求生成 bearer token。
• bearer token 生成后返回给 Spotnana UI。

说明： bearer token 创建成功，即表示用户已通过认证，可以访问 Spotnana。

• 用户通过第 4 步认证后，后续所有 API 请求都必须在请求头中带上 bearer token、 orgId和 tmcId 。
• 所有 API 请求中的 bearer token 都会被校验，校验通过后再返回响应给 Spotnana UI。

合作伙伴服务器向 Spotnana IdP 的 /oauth2/token(clientId,clientSecret) 接口发送 API 请求，生成 bearer token。新生成的 bearer token 会返回给合作伙伴服务器。

• 合作伙伴服务器向第三方回调 URL 发送 API 请求，为用户生成 access token。
• access token 创建后，发送给 Spotnana 服务器。

• Spotnana 服务器会用之前同步的公钥校验 access token 签名，并校验 claim_id ，确认合作伙伴身份。
• access token 会返回给合作伙伴服务器，用于用户认证。