Authentifizierung

Jeder Aufruf, außer den öffentlich gekennzeichneten Funktionen, gehört zu einem Benutzer. Die Rollen dieses Benutzers entscheiden, was die Schnittstelle zulässt.

API-Schlüssel (für Programme)

Öffnen Sie den Benutzer in der Oberfläche und erzeugen Sie unter API-Zugriff einen Schlüssel samt Geheimnis. Das Geheimnis wird nur einmal angezeigt. Senden Sie beide Werte in jedem Aufruf im Header Authorization:

curl -H "Authorization: token $API_SCHLUESSEL:$API_GEHEIMNIS" \
  "https://ihre-instanz.example.com/api/method/vm_erp.vm_erp.startseite.api.startseite_daten"

Legen Sie für jedes Programm einen eigenen Benutzer mit den kleinsten nötigen Rollen an. So lässt sich ein Schlüssel einzeln sperren.

Sitzung (für Browser und Skripte mit Anmeldung)

Nach der Anmeldung über /api/method/login setzt der Server das Cookie sid. Lesende Aufrufe brauchen nur dieses Cookie. Schreibende Aufrufe senden zusätzlich den Header X-Frappe-CSRF-Token mit dem Token der Sitzung. Ohne gültiges Token lehnt der Server den Aufruf ab.

Lesen und Schreiben

Die Referenz zeigt je Funktion die erlaubten Methoden. Parameter werden bei POST als JSON im Rumpf gesendet (Content-Type: application/json) und bei GET als Abfrageparameter.

Öffentliche Funktionen

Wenige Funktionen sind ohne Anmeldung erreichbar, etwa das Retourenformular. Sie sind in der Referenz als öffentlich gekennzeichnet, antworten ohne Hinweis darauf, ob ein Beleg existiert, und begrenzen die Aufrufe je Absenderadresse (Antwort 429, wenn die Grenze erreicht ist).

Rollen

Jede Funktion nennt die Rollen, die sie verlangt. Der schreibgeschützte Demo-Zugang erhält bei schreibenden Funktionen eine Berechtigungsmeldung.