Den Menschen hinter einem Schreibvorgang benennen

Den Menschen hinter einem Schreibvorgang benennen#

Dein Token ist ein Maschinentoken — es hat keinen sub-Claim, die API kann also nicht ermitteln, wer für eine Änderung verantwortlich ist. Datensätze, die eine Person ausweisen müssen, verlangen darum, dass du eine nennst, im Body-Feld authorizing_manager.

POST /api/public/v1/shifts/ HTTP/1.1
Host: app.shiftavo.com
Authorization: Bearer <access_token>
Content-Type: application/json

{
  "location": "0194d1c0-…",
  "position": "0194d1c0-…",
  "start_date": "2026-08-01T09:00:00Z",
  "end_date": "2026-08-01T17:00:00Z",
  "authorizing_manager": "0194d1c0-…"
}

Die Regeln#

  • Pflicht bei jedem shifts-Schreibzugriff ausser dem Löschen — erstellen, PATCH, publish, unpublish, cancel, zuteilen — und bei POST /events/. Fehlt es, kommt ein 400, das das Feld benennt. Die Löschaufrufe (auch das Aufheben einer Zuteilung) verlangen es nicht — ein DELETE hat nie einen Body.

  • Der Wert ist eine Mitarbeitenden-ID aus GET /employees/, derselbe ID-Raum, den auch der Rest der Schnittstelle nutzt.

  • Es muss ein Mitglied mit Führungsrolle sein — Owner, Admin oder Manager — in deinem Unternehmen. Alles andere ergibt einen 400.

  • Nennst du jemanden bei einer Abwesenheitsentscheidung (confirm/, decline/, revoke/) oder bei einem approve/ oder unapprove/ in der Zeiterfassung, braucht diese Person auch die Berechtigung für die Aktion. Bei Abwesenheiten muss die antragstellende Person im Zugriffsbereich der Rolle dieser Person liegen, und über ihre eigene Abwesenheit kann diese Person nur entscheiden, wenn ihre Rolle das ganze Unternehmen abdeckt. Sonst ist der Aufruf ein 403.

  • Sie wird als Ersteller oder Zuteiler des Datensatzes vermerkt und erscheint im Änderungsprotokoll.

Du musst nie raten, welche Schreibvorgänge es brauchen: Der Eintrag jeder Operation in der API-Referenz nennt das Feld.

Einen Wert wählen#

Die meisten Integrationen bestimmen einen Service-Manager — die Person, die für das Tun der Integration geradesteht — und senden deren ID bei jedem Schreibvorgang. Weiss dein Quellsystem bereits, welcher Manager eine Änderung freigegeben hat, übergib diese Person; dann ist das Änderungsprotokoll wirklich nützlich statt einheitlich zugeordnet.

Die ID muss gültig bleiben. Wird die Rolle dieser Person unter die Management-Ebene herabgestuft — oder verlässt sie das Unternehmen ganz —, schlagen Schreibzugriffe mit einem 400 fehl, bis du auf jemand anderen zeigst. Nimm also besser ein Konto, das personelle Wechsel überdauert.