Aktuelle Version vom 19. August 2026, 11:18 Uhr

In diesem Beispiel werden Steuerungs-Variablen aus OBS abgerufen und auf einer Webseite ausgegeben. Der Zugang ist mit JWT-Pflicht eingerichtet, der Konsument muss sich daher zuerst anmelden und einen Token bezogen haben.

Einrichtung in OBS

Server-Profil: Standard-TLS-Profil Public-API mit Bindung 0.0.0.0:443
Zugang: Web-Dashboard
- API-Key: zufaellig generiert
- JWT aktiv, JWT-Endpunkt oauth, JWT-Key zufaellig, JWT-Exp 60 (Minuten)
- CORS-Origins: https://dashboard.kunde.de
Endpunkt: steuerung/v1, dem Profil Public-API zugeordnet
Berechtigung: Zugang Web-Dashboard fuer Endpunkt steuerung/v1 freigeschaltet

JWT-Authentifizierungs-Skript (Zugang)

Wird ueber die Zugaenge-Liste mit F7 geoeffnet. Pruefen, ob Benutzername/Passwort gegen die OBS-Benutzerverwaltung passen.

function Authenticate(oParams: TStrings; oBody: TJSONObject): string;
var oRes  : TJSONObject;
    oVal  : TJSONValue;
    cUser : string;
    cPass : string;
    cSql  : string;
    qUser : TxFQuery;
    lOk   : Boolean;
begin
    oRes := TJSONObject.Create();
    try
        cUser := '';
        cPass := '';
        if (Assigned(oBody)) then begin
            oVal := oBody.GetValue('username');
            if (Assigned(oVal)) then begin
                cUser := oVal.Value;
            end;
            oVal := oBody.GetValue('password');
            if (Assigned(oVal)) then begin
                cPass := oVal.Value;
            end;
        end;

        cSql := 'SELECT u_nr, u_name FROM benutzer' +
                ' WHERE u_login = ' + DB_SQLVal(cUser) +
                ' AND u_passwort_hash = ' + DB_SQLVal(HashPasswort(cPass)) +
                ' AND u_aktiv = ' + DB_SQLVal('1');

        // DB_SOpen liefert true, wenn die ABFRAGE lief - nicht, wenn ein
        // Datensatz gefunden wurde. Ohne die EoF-Pruefung wuerde jede
        // Anmeldung gelingen, sobald das SQL fehlerfrei ist.
        lOk := false;
        if (DB_SOpen(oDB, cSql, qUser)) then begin
            if (not qUser.EoF) then begin
                lOk := true;
                oRes.AddPair('status'           , 1);
                oRes.AddPair('_OBS_JWT_ID'      , qUser.A2C('u_nr'));
                oRes.AddPair('_OBS_JWT_SUBJECT' , qUser.A2C('u_name'));
                oRes.AddPair('_OBS_JWT_AUDIENCE', 'dashboard');
            end;
        end;
        DB_Close(qUser);

        if (not lOk) then begin
            oRes.AddPair('status', 9);
            oRes.AddPair('error' , 'Benutzer oder Passwort ist falsch');
        end;

        result := oRes.ToJSON();
    finally
        MyFreeAndNil(oRes);
    end;
end;

HINWEIS: Hier steht in _OBS_JWT_ID die Benutzernummer - derselbe Wert also bei

jeder Anmeldung desselben Benutzers. Das ist zulässig: der Server führt seine Sitzungen über eigene Kennungen (sid/rid), nicht über das jti des Skripts. Mehrfache und parallele Anmeldungen eines Benutzers sind damit

unproblematisch.

Endpunkt-Skript steuerung/v1

Liefert eine Liste von Steuerungs-Werten zurueck. Die Auswertung der JWT-Claims sorgt dafuer, dass nur Audience dashboard Daten erhaelt.

procedure _AddVar(oArr: TJSONArray; const cVar: string);
var oWert  : TJSONObject;
    cTitel : string;
    cData  : string;
    cEinh  : string;
    lString: Boolean;
    lAlign : Boolean;
begin
    if (ST_Variable(oDB, cVar, cTitel, cData, cEinh, lString, lAlign)) then begin
        oWert := TJSONObject.Create();
        oWert.AddPair('variable', cVar);
        oWert.AddPair('titel'   , cTitel);
        oWert.AddPair('wert'    , cData);
        oWert.AddPair('einheit' , cEinh);
        oArr.Add(oWert);
    end;
end;

//------------------------------------------------------------------------------

//------------------------------------------------------------------------------
// Hilfsfunktion: Fehlerantwort im einheitlichen Format aufbauen.
// Fachliche Ablehnungen als 4xx melden, nicht als 200 mit Fehlertext.
//------------------------------------------------------------------------------

function _Fehler(oParams: TStrings; nStatus: integer; const cCode, cMsg: string): string;
var oRes: TJSONObject;
    oErr: TJSONObject;
begin
    oErr := TJSONObject.Create();
    oErr.AddPair('code'   , cCode);
    oErr.AddPair('message', cMsg);
    oErr.AddPair('traceId', oParams.Values['_OBS_TRACE_ID']);

    oRes := TJSONObject.Create();
    try
        oRes.AddPair('_OBS_HTTP_STATUS', nStatus);
        oRes.AddPair('error', oErr);
        result := oRes.ToJSON();
    finally
        MyFreeAndNil(oRes);
    end;
end;

function Get(oParams: TStrings; oBody: TJSONObject): string;
var oArr: TJSONArray;
begin
    // Audience-Pruefung: nur Dashboard-Tokens akzeptieren
    if (oParams.Values['_OBS_JWT_AUDIENCE'] <> 'dashboard') then begin
        result := _Fehler(oParams, 403, 'FORBIDDEN_ROLE', 'Token nicht für diese Anwendung ausgestellt');
        exit;
    end;

    oArr := TJSONArray.Create();
    try
        _AddVar(oArr, 'WERT_1');
        _AddVar(oArr, 'WERT_2');
        _AddVar(oArr, 'WERT_3');
        _AddVar(oArr, 'WERT_4');
        result := oArr.ToJSON();
    finally
        MyFreeAndNil(oArr);
    end;
end;

JavaScript-Client (Browser)

Im Browser werden zwei Aufrufe gemacht: erst Token holen, dann Daten lesen.

const API_BASE = 'https://api.meinserver.de';
const API_KEY  = '[API-KEY]';

async function login(username, password) {
    const res = await fetch(`${API_BASE}/oauth/`, {
        method:  'POST',
        headers: { 'Content-Type': 'application/json', 'apikey': API_KEY },
        body:    JSON.stringify({ username, password })
    });
    if (!res.ok) throw new Error('Login fehlgeschlagen');
    const data = await res.json();
    return data.token;
}

async function ladeSteuerung(token) {
    const res = await fetch(`${API_BASE}/steuerung/v1`, {
        method:  'GET',
        headers: {
            'apikey':        API_KEY,
            'Authorization': 'Bearer ' + token
        }
    });
    if (!res.ok) throw new Error('Abruf fehlgeschlagen: ' + res.status);
    return res.json();
}

async function zeigeTabelle() {
    const token = await login('mitarbeiter', 'geheim');
    const werte = await ladeSteuerung(token);

    const tbl = document.getElementById('steuerung');
    werte.forEach(w => {
        const tr = document.createElement('tr');
        tr.innerHTML = `<td>${w.titel}</td><td>${w.wert} ${w.einheit}</td>`;
        tbl.appendChild(tr);
    });
}

zeigeTabelle();

Test mit curl

Token holen:

curl -X POST -H "apikey: [API-KEY]" -H "Content-Type: application/json" ^
     -d "{\"username\":\"mitarbeiter\",\"password\":\"geheim\"}" ^
     https://api.meinserver.de/oauth/

Antwort:

{"token":       "eyJhbGciOi...",
 "accessToken": "eyJhbGciOi...",
 "expiresIn":   3600,
 "serverTime":  "2026-08-19T09:12:33+02:00"}

Da das Skript kein _OBS_JWT_REFRESH_ID liefert, enthält die Antwort kein refreshToken - der Client meldet sich nach Ablauf der 60 Minuten neu an.

Daten abrufen:

curl -H "apikey: [API-KEY]" -H "Authorization: Bearer eyJhbGciOi..." ^
     https://api.meinserver.de/steuerung/v1

Was zeigt das Beispiel?

Zweistufige Anmeldung: API-Key + JWT.
Sichere Trennung von Konsumenten-Gruppen ueber die Audience-Claim.
Eigenes Authentifizierungs-Skript pro Zugang.
Browser-Zugriff ueber CORS-erlaubtes Origin.
Anmeldung ohne Refresh-Token: einfachster Fall, der Token laeuft nach der Zeit aus JWT-Exp ab.

OBS/Kostenpflichtige Module/RESTServer/Beispiel1: Unterschied zwischen den Versionen

Aktuelle Version vom 19. August 2026, 11:18 Uhr

Inhaltsverzeichnis

Beispiel 1: Daten-Abruf mit JWT-Authentifizierung

Einrichtung in OBS

JWT-Authentifizierungs-Skript (Zugang)

Endpunkt-Skript steuerung/v1

JavaScript-Client (Browser)

Test mit curl

Was zeigt das Beispiel?

Navigationsmenü

OBS/Kostenpflichtige Module/RESTServer/Beispiel1: Unterschied zwischen den Versionen

Aktuelle Version vom 19. August 2026, 11:18 Uhr

Beispiel 1: Daten-Abruf mit JWT-Authentifizierung

Einrichtung in OBS

JWT-Authentifizierungs-Skript (Zugang)

Endpunkt-Skript steuerung/v1

JavaScript-Client (Browser)

Test mit curl

Was zeigt das Beispiel?

Navigationsmenü

Suche