鉴权总览 ​

App Key 和 Secret Key 用于接入方服务端签名，不直接用于前端初始化。服务端需要先换取当前产品线和接入路径对应的临时凭证；拼装版 API、预装版 UI 和专业版使用的凭证不同，不能互换。

自研 API极速版 / 拼装版 API接入方服务端换取 token，并在开放 API 请求 Header 中使用。使用 tokeniframe 页面极速版 / 预装版 UI接入方后端换取 code，前端用于 AipptIframe.show 初始化。使用 code新版 iframe专业版通过 /api/grant/otp_code 获取一次性 code，用于 AipptAgent.create 初始化。使用一次性 code

安全边界

Secret Key 只能保存在接入方服务端。前端页面不应保存 Secret Key，也不应直接持有拼装版 API 的 token。

临时凭证用途 ​

凭证所属链路是否给前端边界
App Key / Secret Key所有产品线和接入路径否仅用于接入方服务端签名。
token极速版 / 拼装版 API否用于开放 API 请求 Header，不要暴露给浏览器页面。
code极速版 / 预装版 UI是只用于 AipptIframe.show 初始化预装版 UI iframe。
一次性 code专业版是由 /api/grant/otp_code 返回，只用于 AipptAgent.create 初始化。

最容易混用的地方 ​

不要把 API token 传给 iframe

iframe 初始化使用 code 或一次性 code，不使用拼装版 API 的 token。

不要混用 UI code 和专业版 code

专业版必须通过 /api/grant/otp_code 获取一次性 code。

不要在前端保存 Secret Key

Secret Key 属于服务端签名凭证，前端只接收当前路径允许使用的临时凭证。

按产品线查看鉴权细节 ​