Ứng dụng gọi API
Thông tin xác thực ứng dụng thuộc môi trường triển khai. Lưu phía máy chủ, cấp quyền tối thiểu và thu hồi theo quy trình đã thống nhất.
NHÀ PHÁT TRIỂN
Xác thực và quyền truy cập API
Tách quyền truy cập ứng dụng khỏi cấp quyền ký của người dùng; xác định nơi lưu bí mật và trách nhiệm thu hồi.
NỘI DUNG TRONG TRANG
Phân biệt xác thực và quyền ký
Thông tin xác thực backend, phiên SSO, phiên Viewer và SAD có vai trò khác nhau. Chọn contract đúng tuyến trước khi triển khai; không tái sử dụng token ngoài mục đích được xác nhận.
Thực hành sổ đối soát offlineThông tin xác thực và token có phạm vi riêng
SIC mô tả Basic ở login và Bearer cho operation dịch vụ. Gateway chưa đủ rõ vị trí xác thực. Không dùng token file, token signing, token Viewer hoặc SAD thay token ứng dụng; không đưa bí mật vào frontend.
Quyền ứng dụng và quyền ký
RSS mô tả lấy token qua SSO; SIC mô tả auth/login và token Bearer cho operation tiếp theo. Token truy cập dịch vụ không thay thế đồng ý ký của người dùng. SIC authorize gắn yêu cầu với digest; SAD phục vụ bước ký theo contract.
QUYỀN TRUY CẬP
Hai ranh giới quyền khác nhau
Người dùng đồng ý ký
Đăng nhập thành công không đồng nghĩa đồng ý ký. Cấp quyền phải liên kết đúng tài liệu, người ký và giao dịch.
HỒ SƠ TRIỂN KHAI
Thông tin cần chốt trước tích hợp
Nếu bảng rộng hơn khung, cuộn ngang để xem các cột; dùng phím mũi tên khi vùng bảng có focus.
| Hạng mục | Quyết định cần có |
|---|---|
| Cơ chế xác thực | Nhận đặc tả chính thức; không suy diễn OAuth, API key hoặc Bearer token. |
| Phạm vi quyền | Thống nhất quyền ứng dụng, tổ chức sử dụng, môi trường và từng thao tác API. |
| Bí mật | Giao người quản lý lưu trữ, luân chuyển và thu hồi; không xuất vào ZIP hoặc log. |
| Kiểm thử | Thử quyền thiếu, quyền hết hạn và thu hồi bằng cơ chế được duyệt. |