鑑權總覽
鑑權總覽
身份與憑據
身份描述調用主體（用戶、組織或無身份），憑據證明該主體。每個端點允許的身份、憑據與scope以API Reference為準。
| 憑據 | 調用方式 | 使用邊界 |
|---|---|---|
| 用戶OAuth access token | Authorization: Bearer | 用戶授權流程，代表用戶 |
| 服務access token | Authorization: Bearer | client_credentials，不能代替用戶身份 |
| API Key | X-API-Key | 必須滿足端點支持的主體與scope，僅安全後端持有 |
用戶第一次接入使用Authorization Code + PKCE，然後按快速開始讀取用戶檔案。瀏覽器授權與換token走accounts issuer，業務REST走api域名，環境必須匹配。
client_secret只由安全後端持有，Public client不持有secret。access token有效期以token響應expires_in為準；客戶端驗證state，scope最小化，憑據不寫日誌。