能否使用2-Legged OAuth Token通过AEC Data Model API访问Autodesk ACC文档？

关于2-legged token访问Hub数据的可行性 #

不能直接使用2-legged OAuth token访问AEC Data Model query API的Hub/Project数据——该API的设计逻辑是基于用户授权的3-legged流程，用来验证访问者对目标资源的权限。但针对你们仅需访问自身Hub数据的场景，有以下几种可行方案：

方案1：基于服务账号的自动化3-legged token流程 #

• 创建一个专属的组织服务账号（属于你们公司的Autodesk账号），手动完成一次3-legged授权流程，获取包含offline_access scope的refresh token。
• 后端将refresh token加密存储，每次access token过期时，自动调用token刷新接口生成新的access token，全程无需人工干预。
• 确保该服务账号对目标Hub和Project拥有足够的权限（如文件读取权限），授权时请求data:read等必要scope。

方案2：申请企业级Server-to-Server特殊权限 #

• 如果需要完全跳过首次授权步骤，可以向Autodesk申请启用Server-to-Server（2-legged）访问指定Hub/Project资源的权限。
• 该权限仅对企业用户开放，需要验证你们的组织身份及目标Hub的所有权，通过后即可直接用2-legged token访问自身Hub内的数据。需联系Autodesk官方支持团队提交申请。

方案3：优化Refresh Token落地逻辑 #

• 若选择保留refresh token方案，重点做好token的安全管理：将refresh token加密存储在后端数据库，设置严格的访问权限；后端封装token刷新逻辑，在每次API请求前自动检查access token有效性，过期则静默刷新。
• 只要首次授权时正确申请offline_access scope，refresh token会长期有效（除非主动撤销权限或账号状态变更），完全满足规避重复登录的需求。

注意事项 #

• 所有token的传输需使用HTTPS，存储需加密，避免泄露风险。
• 调用AEC Data Model API时，确保请求的scope覆盖所需操作（如data:read用于数据查询）。

内容的提问来源于stack exchange，提问作者Khagesh Mahajan