ウォレットの承認とは何ですか?トークンのアクセス許可を取り消すにはどうすればよいですか?

ウォレット承認の定義

1. ウォレットの承認とは、デジタル ウォレット内の特定のリソースまたは機能にアクセスするためにユーザーがサードパーティのアプリケーションまたはサービスに付与する明示的な同意を指します。

2. このプロセスは通常、OAuth 2.0 認証フローを通じて行われ、ユーザーは安全なウォレット インターフェイスにリダイレクトされ、残高の表示、送金の開始、保存された資格情報の管理などの権限の確認を求められます。

3. 承認によりauthCodeとauthStateが生成され、これらは両方とも事前定義されたauthRedirectUrlを介して販売者に返されます。

4. 承認されたスコープは厳密に適用されます。クライアント アプリケーションは、認可リクエスト中に明示的にリストされたスコープのみを実行できます。

5. 各承認は特定のcustomerBelongsTo識別子にバインドされており、Samsung Wallet、Apple Wallet、Huawei Wallet Cloud などの異なるウォレット エコシステム間の分離が確保されています。

トークン失効メカニズム

1. トークンの取り消しにより、ウォレットの承認中に発行されたaccess_tokenまたはrefresh_tokenに関連付けられたアクティブなセッション権限が終了します。

2. 有効なclient_id は、元の認可リクエストで使用されたものと一致する必要があります。チーム ID またはその他の識別子を含めると、取り消しの試行が無効になります。

3. リクエストには、ウォレットプロバイダーの開発者ポータルに登録された秘密キーを使用して生成された、JWT 形式の署名付きclient_secretが必要です。

4. token_type_hintパラメータはサーバー側検証の最適化に役立ちますが、必須ではありません。省略した場合、システムは内部トークン タイプ検出を実行します。

5. 取り消しが成功すると、空の JSON 本文を含む HTTP 200 が返されます。この応答を受信したら、クライアント側でそれ以上のアクションは必要ありません。

アクセストークン取得の流れ

1. アクセス トークンは、Huawei Wallet Cloud や Samsung Wallet バックエンド システムなどのウォレット クラウド サービスへの認証済み API 呼び出しを可能にする、有効期間の短い認証情報として機能します。

2. トークン取得エンドポイントは、 application/x-www-form-urlencodedコンテンツ タイプで HTTPS POST を使用し、 grant_type=client_credentialsを必須とします。

3. client_idとclient_secret は両方とも、仕様ごとに二重引用符で囲まれた文字列リテラルとして送信する必要があります。

4. 応答には、 access_token 、「Bearer」に設定されたtoken_type 、および有効期間を秒単位で示すオプションのExpires_in が含まれます。

5. トークンは、ウォレットプロバイダーの管理コンソールまたはパートナーオンボーディングダッシュボードで別の設定がされていない限り、デフォルトの 3600 秒後に期限切れになります。

通知テンプレートのライフサイクル

1. パートナーは、ウォレット カード所有者にプッシュ通知を送信する前に、パートナー ポータルを通じてメッセージ テンプレートを登録する必要があります。

2. テンプレートは、禁止された表現について自動危害検証チェックを受け、結果はフラグ付きコンテンツとともに合格または不合格として表示されます。

3. テンプレートが拒否された場合、管理者のコメントを含む電子メール通知がトリガーされます。パートナーは、引用された問題に対処した後、修正して再提出することができます。

4.マーチャント プッシュタイプの通知のみが許可され、メッセージ タイプはマーケティングまたはその他のカテゴリに制限されます。

5. 多言語サポートには、一般情報設定で追加された言語ごとに個別のテンプレート エントリが必要です。

カード状態同期プロトコル

1. Samsung Wallet は、ユーザー デバイスでカードのステータスが変化するたびに、追加済み、更新済み、削除済みなどのリアルタイムの状態更新を事前設定されたパートナー サーバーに送信します。

2. これらのイベントは、Send Card State API エンドポイントを使用したサーバー間の HTTPS コールバックを介して配信されます。

3. パートナー サーバーはパブリックにアクセス可能であり、cardId、状態、タイムスタンプ、デバイス メタデータを含む JSON ペイロードを受信して​​解析できる必要があります。

4. カード発行ステータスを検証するには、テスト前にウォレット カード テンプレートが VERIFYING または ACTIVE ステータスである必要があります。

5. 統合は、証明書のプロビジョニングやドメインのホワイトリスト登録など、Samsung Wallet のオンボーディングが正常に完了するかどうかに依存します。

よくある質問

Q: 取り消されたトークンは再認証後に再利用できますか? A: いいえ。一度取り消されると、その後の認証試行に関係なく、トークンは永久に無効になります。

Q: authState 値は暗号的にランダムである必要がありますか? A: はい。 CSRF 攻撃を防ぐために、認可リクエストごとに生成される一意の予測不可能な値である必要があります。

Q: authRedirectUrl にエンコードされていない特殊文字が含まれている場合はどうなりますか? A: 不正な形式の URI エンコーディング要件により、ウォレット サーバーは HTTP 400 エラーでリクエストを拒否します。

Q: トークンの取り消しは、同じ client_id を共有する他のユーザーに影響しますか? A: いいえ。取り消しは個々のユーザー トークン レベルで行われ、他のユーザーに付与された権限には影響しません。