Используя massmost api через gitlab oauth как конечный пользователь с именем пользователя и паролем (без client_secret)

В нашей команде мы используем gitlab (https://git.example) и связанный с ним самый большой чат (https://chat.example).

В любом случае мы хотели бы иметь выделенного бот-пользователя (у веб-крючков есть ограничения по частным каналам и т.д.), который фактически регистрируется точно так же, как обычный пользователь.

Мы создали этого пользователя в gitlab и можем войти в наш чат с ним через chrome (chat login redir → gitlab oauth, введите имя пользователя и pw → redir back to chat → authed).

Теперь я искал библиотеки python, которые могут это сделать, но я могу найти только те, которые требуют client_id и client_secret... Из моего понимания (пожалуйста, поправьте меня, если я ошибаюсь) это не что мы ищем, поскольку мы не хотим создавать другое приложение для авторизации через gitlab, но заходим в наш чат (у которого уже есть id (известный) и secret (неизвестный)) в качестве пользователя через gitlab.

Так как мы не смогли найти такую lib, мы также проверили сетевые запросы в chrome и попытались пересоздать ее в python через requests, но не можем заставить ее работать (разумеется, она включает в себя синтаксический анализ html и csrf)...

Взяв еще одну попытку и много догадок, мы попытались получить access_token вручную через

client_id = 'the one of mattermost in our gitlab'
user = 'username'
pw = 'password'
r = requests.post(
    'https://git.example/oauth/token',
    data={
        "grant_type": "password",
        "username": user,
        "password": pw,
        "client_id": client_id,
    }
)
access_token = r.json()['access_token']

Кажется, что это работает (и токен выглядит хорошо), но использование его в самом API-интерфейсе приводит только к 401:

ri = requests.get(
    'https://chat.example/api/v1/users/me',
    headers={'Authorization': 'Bearer ' + access_token}
)

ri.status_code, ri.json()
(401,
 {u'detailed_error': u'token=...xxx...',
  u'id': u'api.context.session_expired.app_error',
  u'is_oauth': False,
  u'message': u'Invalid or expired session, please login again.',
  u'request_id': u'...yyy...',
  u'status_code': 401})

Печально http://docs.mattermost.com/developer/web-service.html#oauth2 в настоящее время не проливает больше света на это, поэтому я спрашиваю здесь. Возможно, я пропустил что-то очевидное, чтобы "активировать", что access_token в самом деле?

Ответ 1