- Client des services XBOX Depuis un client authentifié auprès des services XBOX. Ces appels s’inscrivent toujours dans un contexte utilisateur.
- De service à service Depuis un service web de titre personnalisé, au moyen d’appels de service à service aux services XBOX. Ces appels sont effectués soit pour le compte d’un utilisateur, soit directement en tant que service. Pour plus d’informations sur les appels depuis les services de titre, consultez Appels des services de titre aux services XBOX.
Appels client aux services XBOX
Pour tous les appels aux services XBOX effectués à l’aide du Microsoft Game Development Kit (GDK), nous recommandons vivement aux titres d’utiliser les XBOX Service APIs (XSAPI) fournies avec les versions du Microsoft Game Development Kit (GDK). Ces API gèrent les requêtes HTTP et renvoient directement au titre les données de service disponibles sous forme d’objets. Elles implémentent également le comportement de connexion et de mise en cache que nous recommandons pour les services XBOX et l’authentification. Pour plus d’informations sur ces API, consultez la documentation de l’API des services XBOX : Référence XSAPI. Les sections suivantes ne sont fournies que par souci d’exhaustivité et pour une compréhension plus approfondie de l’authentification des services XBOX.Configuration initiale
Les services XBOX sont préconfigurés de manière transparente pour tous les titres. Aucune configuration de point de terminaison supplémentaire n’est nécessaire. Cela s’applique à tous les sous-domaines*.xboxlive.com.
Récupération du jeton et flux de connexion
Pour utiliser un point de terminaison des services XBOX, un jeton d’authentification XSTS et une signature de message doivent être présents. Sans ces informations, la communication avec le service est rejetée. Le jeton XSTS et l’identification de l’utilisateur (hachage de l’utilisateur) doivent être inclus dans l’en-têteAuthentication de la requête. La signature du message doit être spécifiée dans l’en-tête Signature de la requête. Pour des informations détaillées sur la structure de ces en-têtes, consultez Jetons de sécurité des services XBOX (jetons XSTS).
Obtention d’un jeton XSTS
Les données du jeton XSTS et de l’en-tête de signature sont obtenues au moyen de l’API XUserGetTokenAndSignatureUtf16Async. Celle-ci fournit les en-têtes requis pour les requêtes de service. Le titre demande ensuite le jeton XSTS pour un point de terminaison des services XBOX à l’aide de l’APIXUserGetTokenAndSignatureUtf16Async, selon le flux suivant.
- Appelez
XUserGetTokenAndSignatureUtf16Asyncsur l’utilisateur actuel. Incluez dans l’appel d’API l’URL des services XBOX ainsi que les en-têtes requis ou le corps du message. Cet appel d’API récupère le jeton XSTS pour le point de terminaison des services XBOX. Il génère une signature pour le message et les en-têtes prédéfinis. - Récupérez le jeton XSTS et la signature au moyen de
XUserGetTokenAndSignatureUtf16Resultà partir du résultat asynchrone.XUserGetTokenAndSignatureUtf16Resultrenvoie un jeton XSTS chiffré. Les titres doivent traiter le jeton renvoyé comme des données opaques. Les données du jeton ne doivent pas être écrites sur disque ni mises en cache dans l’espace du titre au-delà de l’appel de service suivant. - Utilisez Microsoft Windows HTTP Services (WinHTTP), xCurl et le jeton XSTS, selon le cas, dans l’en-tête Authorization de la requête HTTPS.
Expiration et actualisation des jetons
Un jeton XSTS n’est valide que pendant une durée déterminée. Le délai d’expiration par défaut d’un jeton XSTS est de quatre heures. Chaque jeton contient un horodatage vérifié par tous les services XBOX. L’API XUserGetTokenAndSignatureUtf16Async doit être utilisée pour chaque nouvelle demande d’authentification ou de connexion.XUserGetTokenAndSignatureUtf16Async gère l’expiration et la mise en cache des jetons. L’API garantit que le titre reçoit toujours un jeton valide. Un titre ne doit pas mettre les jetons en cache par un autre moyen.
Lorsqu’un jeton expiré ou non valide est présenté à un point de terminaison des services XBOX, une erreur HTTP/401 est renvoyée.