משתמשים וסשנים ב‑REST

עודכן 31.08.2026

שכבת המשתמשים היא Parse סטנדרטי, עם שלוש הרחבות מוצר: username הוא אימייל במוסכמה ולא באכיפה, מדיניות סיסמאות נאכפת בשרת, ויצירת משתמש ב‑REST אינה משייכת רישיון.

POST /parse/users יוצר שורה ב‑_User ותו לא. הוא אינו רושם את המשתמש בשכבת האפליקציה ואינו משייך לו חבילת רישוי (מושב). משתמש כזה אינו יכול להיכנס ל‑CRM: מסך ההתחברות מחזיר “תקלה בשיוך לאפליקצייה. פנה למנהל מערכת”. POST /parse/login עצמו כן מנפיק לו Session Token, כי האכיפה יושבת בשכבת האפליקציה בלבד; אל תשתמשו בהצלחת login כבדיקת רישוי. משתמש בלי תפקיד מקבל {"code":119,"error":"Permission denied for action find on class …"} על כל טבלה.

לניהול משתמשים אמיתי: הכלי Create-or-Update-User בשכבת המוצר. הוא יוצר את השורה ב‑_User ורושם את המשתמש בשכבת האפליקציה, הרישום שמסך הכניסה דורש. משתמש שנוצר כך נכנס ל‑CRM, גם בסביבה ללא חבילה כלל (נוחת על דשבורד ריק) וגם בלי תפקיד. הנקודה ב‑REST מתאימה לזרימות אימות (התחברות, איפוס סיסמה, פורטל), לא להקמת עובדים.

הנקודות

פעולה	נקודת קצה	מה נדרש
הרשמה	POST `/parse/users`	Master Key או API Key + גוף `{username, password, …}`
התחברות	POST `/parse/login`	`X-Parse-Application-Id` + גוף `{username, password}`
המשתמש הנוכחי	GET `/parse/users/me`	`X-Parse-Session-Token`
עדכון	PUT `/parse/users/{objectId}`	Master Key — ראו האזהרה בהמשך
איפוס סיסמה	POST `/parse/requestPasswordReset`	גוף `{"email": "…"}`
התנתקות	POST `/parse/logout`	`X-Parse-Session-Token`

הרשמה

POST /parse/users עם X-Parse-Application-Id בלבד נדחה ב‑{"code":119,"error":"This action is not allowed without a valid CAPTCHA"}, אותו שער שחוסם כל כתיבה אנונימית. שדה טוקן בגוף הבקשה אינו עוזר: הנקודה אינה מקבלת CAPTCHA ואינה מאמתת אחת. המסלול להרשמה עצמית הוא דף במערכת עם טופס register, שנושא את ה‑CAPTCHA. הוא מיועד למשתמשי פורטל ולקהל חיצוני, לא למשתמשי מערכת. ודאו שהתפקיד וההרשאות שמקבל משתמש שנרשם כך צרים ומתאימים לקהל חיצוני, לפני שפותחים את הדף. הרשמה עצמית מדף נחיתה חיצוני עוברת דרך שרת ביניים שמחזיק מפתח, או דרך פונקציית צד שרת ייעודית.

curl -sS -X POST "https://api.mbapps.co.il/parse/users" \
  -H "X-Parse-Application-Id: $APP_ID" \
  -H "X-Parse-API-Key: $API_KEY" \
  -H "Content-Type: application/json" \
  -d '{
  "username": "user@company.co.il",
  "password": "Sod1Hazak",
  "email":    "user@company.co.il",
  "name":     "ישראל ישראלי",
  "phone":    "0501234567"
}'

const res = await fetch('https://api.mbapps.co.il/parse/users', {
  method: 'POST',
  headers: {
    'X-Parse-Application-Id': APP_ID,
    'X-Parse-API-Key': API_KEY,
    'Content-Type': 'application/json',
  },
  body: JSON.stringify({
    username: 'user@company.co.il',
    password: 'Sod1Hazak',
    email: 'user@company.co.il',
    name: 'ישראל ישראלי',
    phone: '0501234567',
  }),
});

import requests

res = requests.post(
    "https://api.mbapps.co.il/parse/users",
    headers={
        "X-Parse-Application-Id": APP_ID,
        "X-Parse-API-Key": API_KEY,
    },
    json={
        "username": "user@company.co.il",
        "password": "Sod1Hazak",
        "email": "user@company.co.il",
        "name": "ישראל ישראלי",
        "phone": "0501234567",
    },
    timeout=30,
)

<?php
$ch = curl_init('https://api.mbapps.co.il/parse/users');
curl_setopt_array($ch, [
    CURLOPT_RETURNTRANSFER => true,
    CURLOPT_POST => true,
    CURLOPT_HTTPHEADER => [
        'X-Parse-Application-Id: ' . $appId,
        'X-Parse-API-Key: ' . $apiKey,
        'Content-Type: application/json',
    ],
    CURLOPT_POSTFIELDS => json_encode([
        'username' => 'user@company.co.il',
        'password' => 'Sod1Hazak',
        'email' => 'user@company.co.il',
        'name' => 'ישראל ישראלי',
        'phone' => '0501234567',
    ], JSON_UNESCAPED_UNICODE),
]);
$response = curl_exec($ch);
curl_close($ch);

201 Created →

{
  "objectId": "g7y9tkhB7O",
  "createdAt": "2026-08-20T09:14:22.005Z",
  "sessionToken": "r:xxxxxxxxxxxxxxxxxxxxxxxxx"
}

ההרשמה מחזירה טוקן סשן מיידי: המשתמש מחובר.

מדיניות הסיסמאות שהשרת אוכף

(?=.*\d)(?=.*[a-z])(?=.*[A-Z]).{8,}

מינימום 8 תווים, לפחות אות קטנה אחת, אות גדולה אחת וספרה אחת. כל הפרה (קצרה מדי, בלי אות גדולה, בלי ספרה) מוחזרת באותה שגיאה:

{ "code": 142, "error": "Password does not meet the Password Policy requirements." }

ההודעה אינה מפרטת מה חסר; ולידציה בצד הלקוח חוסכת את הניחוש.

התחברות

curl -sS -X POST "https://api.mbapps.co.il/parse/login" \
  -H "X-Parse-Application-Id: $APP_ID" \
  -H "Content-Type: application/json" \
  -d '{ "username": "user@company.co.il", "password": "********" }'

const res = await fetch('https://api.mbapps.co.il/parse/login', {
  method: 'POST',
  headers: {
    'X-Parse-Application-Id': APP_ID,
    'Content-Type': 'application/json',
  },
  body: JSON.stringify({ username: 'user@company.co.il', password: '********' }),
});

import requests

res = requests.post(
    "https://api.mbapps.co.il/parse/login",
    headers={"X-Parse-Application-Id": APP_ID},
    json={"username": "user@company.co.il", "password": "********"},
    timeout=30,
)

<?php
$ch = curl_init('https://api.mbapps.co.il/parse/login');
curl_setopt_array($ch, [
    CURLOPT_RETURNTRANSFER => true,
    CURLOPT_POST => true,
    CURLOPT_HTTPHEADER => [
        'X-Parse-Application-Id: ' . $appId,
        'Content-Type: application/json',
    ],
    CURLOPT_POSTFIELDS => json_encode([
        'username' => 'user@company.co.il',
        'password' => '********',
    ], JSON_UNESCAPED_UNICODE),
]);
$response = curl_exec($ch);
curl_close($ch);

{
  "username": "user@company.co.il",
  "objectId": "g7y9tkhB7O",
  "createdAt": "2022-01-01T12:23:45.678Z",
  "updatedAt": "2022-01-01T12:23:45.678Z",
  "sessionToken": "r:xxxxxxxxxxxxxxxxxxxxxxxxx"
}

התשובה בפועל עשירה יותר: גם email, name, ACL, createdBy/updatedBy, ואחרי ההתחברות הראשונה גם last_success_login ו‑_failed_login_count. שם משתמש או סיסמה שגויים מוחזרים ב‑HTTP 404 עם {"code":101,"error":"Invalid username/password."}.

מכאן והלאה כל קריאה נושאת:

X-Parse-Session-Token: r:xxxxxxxxxxxxxxxxxxxxxxxxx

הגישה מוגבלת לתפקידים של המשתמש ולהרשאות ברמת הטבלה. זו הדרך היחידה לגבול הרשאות אמיתי. ראו אימות והרשאות.

המשתמש הנוכחי, וקוד 209

curl -sS "https://api.mbapps.co.il/parse/users/me" \
  -H "X-Parse-Application-Id: $APP_ID" \
  -H "X-Parse-Session-Token: r:xxxxxxxxxxxxxxxxxxxxxxxxx"

const res = await fetch('https://api.mbapps.co.il/parse/users/me', {
  headers: {
    'X-Parse-Application-Id': APP_ID,
    'X-Parse-Session-Token': 'r:xxxxxxxxxxxxxxxxxxxxxxxxx',
  },
});

import requests

res = requests.get(
    "https://api.mbapps.co.il/parse/users/me",
    headers={
        "X-Parse-Application-Id": APP_ID,
        "X-Parse-Session-Token": "r:xxxxxxxxxxxxxxxxxxxxxxxxx",
    },
    timeout=30,
)

<?php
$ch = curl_init('https://api.mbapps.co.il/parse/users/me');
curl_setopt_array($ch, [
    CURLOPT_RETURNTRANSFER => true,
    CURLOPT_HTTPHEADER => [
        'X-Parse-Application-Id: ' . $appId,
        'X-Parse-Session-Token: r:xxxxxxxxxxxxxxxxxxxxxxxxx',
    ],
]);
$response = curl_exec($ch);
curl_close($ch);

טוקן שפג או בוטל מוחזר כך (עם HTTP 400):

{ "code": 209, "error": "invalid session token" }

async function callWithSession(path, init = {}) {
  let token = getStoredToken();
  const send = () => fetch(`https://api.mbapps.co.il/parse${path}`, {
    ...init,
    headers: { ...init.headers, 'X-Parse-Application-Id': APP_ID, 'X-Parse-Session-Token': token },
  });

  let res = await send();
  if (res.status === 400 || res.status === 401 || res.status === 403) {
    const body = await res.clone().json().catch(() => ({}));
    if (body.code === 209) {            // הטוקן פג — התחברות מחדש וניסיון אחד נוסף
      token = await login();
      storeToken(token);
      res = await send();
    }
  }
  return res;
}

עדכון משתמש

curl -sS -X PUT "https://api.mbapps.co.il/parse/users/g7y9tkhB7O" \
  -H "X-Parse-Application-Id: $APP_ID" \
  -H "X-Parse-Master-Key: $MASTER_KEY" \
  -H "Content-Type: application/json" \
  -d '{ "phone": "0509999999", "job": "מנהל מכירות" }'

const res = await fetch('https://api.mbapps.co.il/parse/users/g7y9tkhB7O', {
  method: 'PUT',
  headers: {
    'X-Parse-Application-Id': APP_ID,
    'X-Parse-Master-Key': MASTER_KEY,
    'Content-Type': 'application/json',
  },
  body: JSON.stringify({ phone: '0509999999', job: 'מנהל מכירות' }),
});

import requests

res = requests.put(
    "https://api.mbapps.co.il/parse/users/g7y9tkhB7O",
    headers={
        "X-Parse-Application-Id": APP_ID,
        "X-Parse-Master-Key": MASTER_KEY,
    },
    json={"phone": "0509999999", "job": "מנהל מכירות"},
    timeout=30,
)

<?php
$ch = curl_init('https://api.mbapps.co.il/parse/users/g7y9tkhB7O');
curl_setopt_array($ch, [
    CURLOPT_RETURNTRANSFER => true,
    CURLOPT_CUSTOMREQUEST => 'PUT',
    CURLOPT_HTTPHEADER => [
        'X-Parse-Application-Id: ' . $appId,
        'X-Parse-Master-Key: ' . $masterKey,
        'Content-Type: application/json',
    ],
    CURLOPT_POSTFIELDS => json_encode([
        'phone' => '0509999999',
        'job' => 'מנהל מכירות',
    ], JSON_UNESCAPED_UNICODE),
]);
$response = curl_exec($ch);
curl_close($ch);

שדות `_User` שהמוצר מוסיף

במערכת חדשה קיימים בסכימה רק חלק מהם; השאר נוצרים כשכותבים אליהם. אל תניחו קיום, שלפו סכימה.

שדה	טיפוס	קיים בבסיס	לְמה
`name`	String	✔	שם תצוגה (עברית בסדר גמור)
`status`	Pointer→`UserStatuses`	✔	סטטוס נוכחות
`profile_image`	File	✔	תמונת פרופיל
`last_success_login`	Date	✔	התחברות מוצלחת אחרונה
`emailVerified`	Boolean	✔
`language`	String	✔	שפת הממשק
`phone` · `extension`	String	✘	טלפון ושלוחה במרכזייה
`job`	String	✘	תפקיד — טקסט, לא הרשאה
`active`	Boolean	✘	מתג ההשבתה. `false` = חסום כניסה, גם ב‑REST: `{"code":101,"error":"User is not active."}`
`isPortalUser`	Boolean	✘	משתמש פורטל חיצוני — אינו צורך מושב רישוי

אובייקט המשתמש שחוזר מ‑/parse/login נושא גם את _failed_login_count, מונה כשלונות ההתחברות עד להצלחה הזו; ברשומה עצמה המונה מתאפס ל‑0 מיד אחרי התחברות מוצלחת.

אין פעולת “מחיקת משתמש” בשכבת המוצר, בכוונה: משתמש מופיע כ‑createdBy ו‑updatedBy על מאות רשומות ובאלפי שורות יומן, ומחיקה קשה מותירה מצביעים תלויים. הדפוס: active: false, והחזרה לעבודה בהיפוך הדגל.

DELETE /parse/users/<objectId> עם Master Key או API Key עובד ומחזיר {}, כל עוד אף רשומה אינה מצביעה על המשתמש. מרגע שהוא מופיע כ‑Pointer בטבלה כלשהי, וזה קורה כבר בהתחברות הראשונה דרך _RequestLog, המחיקה נדחית ב‑{"code":119,"error":"Pointer to Object <id> exists in table _RequestLog in key user. Delete is not allowed."}. בלי Master Key / API Key: {"code":206,"error":"insufficient auth to delete user"}. בפועל, משתמש שעבד פעם אחת אינו ניתן למחיקה.

איפוס סיסמה

curl -sS -X POST "https://api.mbapps.co.il/parse/requestPasswordReset" \
  -H "X-Parse-Application-Id: $APP_ID" \
  -H "Content-Type: application/json" \
  -d '{ "email": "user@company.co.il" }'

const res = await fetch('https://api.mbapps.co.il/parse/requestPasswordReset', {
  method: 'POST',
  headers: {
    'X-Parse-Application-Id': APP_ID,
    'Content-Type': 'application/json',
  },
  body: JSON.stringify({ email: 'user@company.co.il' }),
});

import requests

res = requests.post(
    "https://api.mbapps.co.il/parse/requestPasswordReset",
    headers={"X-Parse-Application-Id": APP_ID},
    json={"email": "user@company.co.il"},
    timeout=30,
)

<?php
$ch = curl_init('https://api.mbapps.co.il/parse/requestPasswordReset');
curl_setopt_array($ch, [
    CURLOPT_RETURNTRANSFER => true,
    CURLOPT_POST => true,
    CURLOPT_HTTPHEADER => [
        'X-Parse-Application-Id: ' . $appId,
        'Content-Type: application/json',
    ],
    CURLOPT_POSTFIELDS => json_encode([
        'email' => 'user@company.co.il',
    ]),
]);
$response = curl_exec($ch);
curl_close($ch);

שולח מייל איפוס ומחזיר {"message":"Your request will be processed shortly"}. התשובה זהה גם לכתובת שאינה קיימת: הנקודה אינה מדליפה אילו כתובות רשומות.

איפוס יזום על ידי מנהל = עדכון עם password חדש (Master Key או שכבת המוצר).

התנתקות

curl -sS -X POST "https://api.mbapps.co.il/parse/logout" \
  -H "X-Parse-Application-Id: $APP_ID" \
  -H "X-Parse-Session-Token: r:xxxxxxxxxxxxxxxxxxxxxxxxx"

const res = await fetch('https://api.mbapps.co.il/parse/logout', {
  method: 'POST',
  headers: {
    'X-Parse-Application-Id': APP_ID,
    'X-Parse-Session-Token': 'r:xxxxxxxxxxxxxxxxxxxxxxxxx',
  },
});

import requests

res = requests.post(
    "https://api.mbapps.co.il/parse/logout",
    headers={
        "X-Parse-Application-Id": APP_ID,
        "X-Parse-Session-Token": "r:xxxxxxxxxxxxxxxxxxxxxxxxx",
    },
    timeout=30,
)

<?php
$ch = curl_init('https://api.mbapps.co.il/parse/logout');
curl_setopt_array($ch, [
    CURLOPT_RETURNTRANSFER => true,
    CURLOPT_POST => true,
    CURLOPT_HTTPHEADER => [
        'X-Parse-Application-Id: ' . $appId,
        'X-Parse-Session-Token: r:xxxxxxxxxxxxxxxxxxxxxxxxx',
    ],
]);
$response = curl_exec($ch);
curl_close($ch);

מבטל את הסשן; כל שימוש נוסף באותו טוקן מחזיר 209.

שלוש ההחלטות שמרכיבות משתמש עובד

#	ההחלטה	מה קורה בלעדיה
1	משתמש — שורה ב‑`_User`	אין למי להתחבר
2	רישום בשכבת האפליקציה + חבילה / מושב — מה ש‑`Create-or-Update-User` והממשק עושים, ו‑`POST /parse/users` לא	המשתמש נחסם במסך הכניסה ל‑CRM (“תקלה בשיוך לאפליקצייה”). `POST /parse/login` בכל זאת יחזיר לו טוקן
3	תפקיד — ודרכו הרשאות הטבלה (find / get / create / update / delete)	כל שאילתה מוחזרת ב‑`119 Permission denied`; בממשק זה נראה כמו טבלאות ריקות

שלושתן בלתי תלויות ואף אחת אינה אוטומטית. הרשאות אפקטיביות = איחוד התפקידים של המשתמש.

הסימפטום	מה חסר
“המשתמש לא מצליח להתחבר”	רישום בשכבת האפליקציה / חבילה, `active: false`, או נעילה זמנית אחרי כשלונות התחברות
“המשתמש מחובר אבל לא רואה כלום”	תפקיד, או CLP של הטבלה
“המשתמש רואה רשומות של אחרים”	סינון ברמת שורה (הרשאות מתקדמות)

משתמשי פורטל

isPortalUser: true מסמן משתמש חיצוני: לקוח שרואה רק את החשבוניות שלו, תלמיד שרואה את הקורסים שלו.

אינם צורכים מושב רישוי; פורטל לקוחות אינו מוגבל במספר משתמשים.
מקבלים תפקיד ייעודי צר עם CLP מוגבל.
אינם רואים את ממשק ה‑CRM הרגיל.
זהו הקהל של הרשמה עצמית (דף register עם CAPTCHA) ושל התחברות ב‑OTP לפי מספר טלפון ב‑username. שני הדפים נבנים בעורך הדפים.

הערות אבטחה

password לעולם אינו מוחזר בשאילתה, גם לא עם Master Key ו‑keys=password מפורש.
קריאה ל‑_User דורשת הזדהות. קריאה אנונימית נחסמת תמיד, אבל הקוד והסטטוס תלויים ב‑CLP של המערכת: בקונפיגורציה אחת 404 עם {"code":101,"error":"user needs to be authenticated"}, באחרת 400 עם {"code":119,"error":"Permission denied for action find on class _User."}. אל תתלו לוגיקה בקוד שגיאה מסוים; בדקו שהקריאה נכשלה, לא איך. יצירה ומחיקה נעולות ל‑Master Key / API Key.
כשלונות התחברות נספרים (_failed_login_count), ואחרי 8 כשלונות רצופים החשבון ננעל ל‑30 דקות: כל ניסיון נוסף, גם עם הסיסמה הנכונה, מוחזר ב‑{"code":101,"error":"Your account is locked due to multiple failed login attempts. Please try again after 30 minute(s)"}. לולאת ניסיונות אוטומטית נועלת את החשבון. הודעת הנעילה שונה מהודעת הסיסמה השגויה, כך שקוד יכול להבחין בין השתיים.
ה‑API Key מגיע גם ל‑_User; הוא אינו אישור מוגבל‑היקף. ראו אימות והרשאות.

המשך מכאן

אימות והרשאות — ארבע השיטות, כולל Session Token
סביבות וגישה — חבילות ומושבים
שגיאות ופתרון תקלות · שרת ה‑MCP — Create-or-Update-User, תפקידים והרשאות