Was ist eine Wallet-Genehmigung? Wie widerrufen Sie Token-Berechtigungen?

Definition der Wallet-Genehmigung

1. Wallet-Genehmigung bezieht sich auf die ausdrückliche Zustimmung eines Benutzers zu einer Drittanbieteranwendung oder einem Drittanbieterdienst, um auf bestimmte Ressourcen oder Funktionen in seinem digitalen Wallet zuzugreifen.

2. Dieser Prozess erfolgt normalerweise über einen OAuth 2.0-Autorisierungsfluss, bei dem der Benutzer zu einer sicheren Wallet-Schnittstelle weitergeleitet und aufgefordert wird, Berechtigungen wie das Anzeigen des Kontostands, das Initiieren von Überweisungen oder das Verwalten gespeicherter Anmeldeinformationen zu bestätigen.

3. Durch die Genehmigung werden ein authCode und ein authState generiert, die beide über eine vordefinierte authRedirectUrl an den Händler zurückgegeben werden.

4. Genehmigte Bereiche werden strikt durchgesetzt – nur die explizit in der Autorisierungsanfrage aufgeführten Bereiche können von der Clientanwendung ausgeübt werden.

5. Jede Genehmigung ist an eine bestimmte customerBelongsTo -Kennung gebunden, wodurch die Isolierung zwischen verschiedenen Wallet-Ökosystemen wie Samsung Wallet, Apple Wallet oder Huawei Wallet Cloud gewährleistet wird.

Token-Widerrufsmechanismus

1. Durch den Token-Widerruf werden aktive Sitzungsprivilegien beendet, die entweder mit einem access_token oder einem REfresh_token verbunden sind, das während der Wallet-Autorisierung ausgegeben wurde.

2. Eine gültige client_id muss mit der in der ursprünglichen Autorisierungsanfrage verwendeten übereinstimmen. Die Einbeziehung der Team-ID oder anderer Identifikatoren macht den Widerrufsversuch ungültig.

3. Die Anfrage erfordert ein signiertes client_secret im JWT-Format, das mit dem privaten Schlüssel generiert wird, der im Entwicklerportal des Wallet-Anbieters registriert ist.

4. Der token_type_hint- Parameter hilft bei der Optimierung der serverseitigen Validierung, ist jedoch nicht obligatorisch – wenn er weggelassen wird, führt das System eine interne Tokentyperkennung durch.

5. Erfolgreicher Widerruf gibt HTTP 200 mit leerem JSON-Body zurück; Sobald diese Antwort eingegangen ist, sind auf der Clientseite keine weiteren Maßnahmen erforderlich.

Greifen Sie auf den Token-Erwerbsablauf zu

1. Zugriffstoken dienen als kurzlebige Anmeldeinformationen, die authentifizierte API-Aufrufe an Wallet-Cloud-Dienste wie Huawei Wallet Cloud oder Samsung Wallet-Backend-Systeme ermöglichen.

2. Der Token-Erfassungsendpunkt verwendet HTTPS POST mit dem Inhaltstyp application/x-www-form-urlencoded und schreibt grant_type=client_credentials vor.

3. Sowohl client_id als auch client_secret müssen gemäß Spezifikation als Zeichenfolgenliterale in doppelten Anführungszeichen übertragen werden.

4. Die Antwort umfasst „access_token“ , „token_type“ auf „Bearer“ und optional „expires_in“ , das die Lebensdauer in Sekunden angibt.

5. Token verfallen standardmäßig nach 3600 Sekunden, sofern in der Admin-Konsole des Wallet-Anbieters oder im Partner-Onboarding-Dashboard nichts anderes konfiguriert ist.

Lebenszyklus der Benachrichtigungsvorlage

1. Partner müssen Nachrichtenvorlagen über das Partnerportal registrieren, bevor sie Push-Benachrichtigungen an Wallet-Karteninhaber senden.

2. Vorlagen werden einer automatischen Schadensüberprüfung auf unzulässige Ausdrücke unterzogen, wobei die Ergebnisse neben den markierten Inhalten als „Bestanden“ oder „Nicht bestanden“ angezeigt werden.

3. Abgelehnte Vorlagen lösen eine E-Mail-Benachrichtigung mit Administratorkommentaren aus. Partner können die zitierten Probleme überarbeiten und erneut einreichen.

4. Es sind nur Benachrichtigungen vom Typ „Merchant Push“ zulässig, wobei der Nachrichtentyp auf Marketing oder andere Kategorien beschränkt ist.

5. Für die Unterstützung mehrerer Sprachen sind separate Vorlageneinträge für jede unter den allgemeinen Informationseinstellungen hinzugefügte Sprache erforderlich.

Kartenstatus-Synchronisierungsprotokoll

1. Samsung Wallet sendet Echtzeit-Statusaktualisierungen – wie HINZUGEFÜGT, AKTUALISIERT oder GELÖSCHT – an vorkonfigurierte Partnerserver, wenn sich der Kartenstatus auf einem Benutzergerät ändert.

2. Diese Ereignisse werden über Server-zu-Server-HTTPS-Rückrufe mithilfe des Send Card State API-Endpunkts übermittelt.

3. Partnerserver müssen öffentlich zugänglich und in der Lage sein, JSON-Nutzdaten mit Karten-ID, Status, Zeitstempel und Gerätemetadaten zu empfangen und zu analysieren.

4. Zur Überprüfung des Kartenausstellungsstatus muss sich die Wallet-Kartenvorlage vor dem Test im Status „VERIFIZIEREN“ oder „AKTIV“ befinden.

5. Die Integration hängt vom erfolgreichen Abschluss des Samsung Wallet-Onboardings ab, einschließlich der Bereitstellung von Zertifikaten und der Domänen-Whitelist.

Häufig gestellte Fragen

F: Kann ein widerrufener Token nach der erneuten Autorisierung wiederverwendet werden? A: Nein. Sobald das Token widerrufen wurde, wird es dauerhaft ungültig, unabhängig von nachfolgenden Autorisierungsversuchen.

F: Muss der authState-Wert kryptografisch zufällig sein? A: Ja. Es muss ein eindeutiger, unvorhersehbarer Wert sein, der pro Autorisierungsanforderung generiert wird, um CSRF-Angriffe zu verhindern.

F: Was passiert, wenn authRedirectUrl nicht codierte Sonderzeichen enthält? A: Der Wallet-Server lehnt die Anfrage mit dem HTTP-400-Fehler aufgrund fehlerhafter URI-Kodierungsanforderungen ab.

F: Hat der Token-Widerruf Auswirkungen auf andere Benutzer, die dieselbe client_id verwenden? A: Nein. Der Widerruf erfolgt auf der Ebene des einzelnen Benutzer-Tokens und hat keinen Einfluss auf die Berechtigungen, die anderen Benutzern gewährt wurden.