如何调用受XSUAA保护的Python API？认证跳转问题求助

1. 核对XSUAA认证配置的核心规则 #

• 打开后端的xs-security.json，检查oauth2-configuration里的redirect-uris，必须包含Postman的回调地址（比如https://oauth.pstmn.io/v1/callback），还有SAPUI5应用的域名也得加进去。
• 确认后端API定义的scope，已经被SAPUI5绑定的XSUAA实例授权，两个服务的XSUAA得是同一租户、权限范围完全匹配。

2. 修正Postman的认证方式 #

• 别直接裸发请求，必须用OAuth2.0授权码流程：
  • 切换到Postman的Authorization标签，选OAuth 2.0类型
  • 填XSUAA的授权地址（https://<你的XSUAA域名>/oauth/authorize）和token地址（https://<你的XSUAA域名>/oauth/token）
  • 输入从CF服务密钥里拿到的客户端ID、密钥
  • 回调地址设为https://oauth.pstmn.io/v1/callback，拿到有效token后再调用API
• 如果用client credentials流程，得确认XSUAA允许这个客户端访问后端的scope。

3. 检查Python后端的认证拦截逻辑 #

• 确认后端代码里正确集成了sap-xssec库，保证只有带有效JWT令牌的请求能过，没带令牌的请求会触发认证跳转（这就是Postman裸请求返回HTML的原因）。
• 别给浏览器请求开特殊豁免：浏览器直接访问时自动完成了认证跳转登录，但Postman不会处理跳转，所以得确保API接口只认JWT令牌，不靠浏览器会话。

4. 验证SAPUI5的请求令牌携带情况 #

• 在SAPUI5代码里，得用sap.ushell.Container.getService("UserInfo").getToken()拿到JWT，然后在请求头里加Authorization: Bearer <token>。
• 检查manifest.json里的目标地址配置，确保请求发对了后端路由，就算同CF空间也得确认路由没写错。

5. 确认CF空间内的服务绑定与权限 #

• 用cf bindings <后端应用名>和cf bindings <UI5应用名>命令，看两个应用是不是绑定了同一个XSUAA实例。
• 检查XSUAA的角色集合，是不是已经分配给了当前用户，得确保用户同时能访问后端API和UI5应用。

内容的提问来源于stack exchange，提问作者Mac Mustermann