OAuth és hatókörök

1GET https://prod.dynex.hu/api/apps/oauth/authorize2  ?response_type=code3  &client_id=dxapp_…4  &redirect_uri=https://app.example.com/oauth/callback   # pontosan a regisztrált5  &state=<véletlen>                                       # CSRF-védelem6  &scope=contacts.readonly reservations.write             # opcionális; kihagyva az app összes hatóköre7  &code_challenge=<base64url(sha256(verifier))>&code_challenge_method=S256   # opcionális PKCE8 9→ a bérlő bejelentkezik (ha kell), látja a hozzájárulási képernyőt (hatókörök emberi néven, havidíj), megerősít10→ 302 https://app.example.com/oauth/callback?code=dxac_…&state=<ugyanaz>11  vagy elutasításnál: ?error=access_denied&state=…

1POST https://prod.dynex.hu/api/apps/oauth/token2Content-Type: application/x-www-form-urlencoded3 4grant_type=authorization_code&code=dxac_…&client_id=dxapp_…5&client_secret=dxas_…            # KÖTELEZŐ6&code_verifier=…                 # ha az authorize-ban code_challenge-et küldtél (PKCE)7&redirect_uri=https://app.example.com/oauth/callback   # KÖTELEZŐ, pontosan az authorize-beli8 9200 { "access_token": "dxk_…", "token_type": "Bearer", "install_id": "…", "tenant_id": "…",10      "scopes": ["contacts.readonly", "reservations.write"], "embed_secret": "…",11      "webhook_secret": "whsec_…",    # null, ha az appnak nincs webhook-feliratkozása12      "sandbox": false }              # true, ha a telepítés a teszt-fiókodra történt134xx { "error": "invalid_grant", "error_description": "Authorization code expired." }