鉴权总览
鉴权总览
身份与凭据
身份描述调用主体（用户、组织或无身份），凭据证明该主体。每个端点允许的身份、凭据与scope以API Reference为准。
| 凭据 | 调用方式 | 使用边界 |
|---|---|---|
| 用户OAuth access token | Authorization: Bearer | 用户授权流程，代表用户 |
| 服务access token | Authorization: Bearer | client_credentials，不能代替用户身份 |
| API Key | X-API-Key | 必须满足端点支持的主体与scope，仅安全后端持有 |
用户第一次接入使用Authorization Code + PKCE，然后按快速开始读取用户档案。浏览器授权与换token走accounts issuer，业务REST走api域名，环境必须匹配。
client_secret只由安全后端持有，Public client不持有secret。access token有效期以token响应expires_in为准；客户端验证state，scope最小化，凭据不写日志。