如何通过REST API实现Nextcloud登录并获取身份验证令牌

方案1：调用官方登录接口直接获取访问令牌 #

Nextcloud 12及以上版本内置了Login V2接口，支持直接传入账号密码生成应用专属访问令牌，无需额外安装扩展：

• 接口请求方式：POST /index.php/login/v2
• 请求参数（支持表单/JSON格式）：
  • user：用户输入的Nextcloud账号
  • password：用户输入的Nextcloud密码
  • deviceName：你的Web应用自定义标识，方便用户在Nextcloud安全设置中管理登录设备
• 请求成功后返回结果中appPassword字段即为有效访问凭证，后续调用Nextcloud所有API时，将该值作为基础认证的密码即可，你也可以将该凭证作为用户登录成功的标识存入自有会话体系。

请求示例：

curl -X POST https://<你的Nextcloud服务域名>/index.php/login/v2 \
  -d "user=testuser&password=testpass&deviceName=MyCustomWebApp"

方案2：仅校验账号密码有效性（无需生成Nextcloud令牌） #

如果你不需要调用Nextcloud其他业务API，仅需用Nextcloud账号体系做登录身份校验，可以直接通过基础认证调用用户信息接口判断凭证有效性：

• 将用户输入的账号密码按账号:密码格式拼接后做Base64编码，添加到请求头Authorization: Basic <编码后内容>
• 同时添加请求头OCS-APIRequest: true，调用GET /ocs/v1.php/cloud/user接口
• 返回200状态码即为账号密码正确，你可以直接给用户发放自有体系的登录凭证，无需留存Nextcloud相关信息。

请求示例：

curl -X GET https://<你的Nextcloud服务域名>/ocs/v1.php/cloud/user \
  -H "Authorization: Basic dGVzdHVzZXI6dGVzdHBhc3M=" \
  -H "OCS-APIRequest: true"

注意事项 #

• 若前端直接调用Nextcloud接口，需要提前在Nextcloud配置中放开对应Web应用域名的CORS限制，避免跨域拦截；更推荐将请求走自有后端转发，降低凭证泄露风险。
• 账号密码错误时接口会返回401状态码，可直接作为登录失败的判断依据。
• 生产环境优先引导用户在Nextcloud安全设置中生成专属应用密码来对接，比直接使用用户主密码安全性更高，用户可随时撤销应用访问权限。

内容的提问来源于stack exchange，提问作者omer faruk kalkan