월렛 승인이란 무엇입니까? 토큰 권한을 어떻게 취소합니까?

월렛 승인 정의

1. 지갑 승인은 디지털 지갑 내의 특정 리소스나 기능에 접근하기 위해 사용자가 제3자 애플리케이션이나 서비스에 부여한 명시적인 동의를 의미합니다.

2. 이 프로세스는 일반적으로 사용자가 보안 지갑 인터페이스로 리디렉션되고 잔액 보기, 전송 시작 ​​또는 저장된 자격 증명 관리와 같은 권한을 확인하라는 메시지가 표시되는 OAuth 2.0 인증 흐름을 통해 발생합니다.

3. 승인은 authCode 및 authState 를 생성하며, 둘 다 사전 정의된 authRedirectUrl을 통해 판매자에게 다시 전달됩니다.

4. 승인된 범위는 엄격하게 적용됩니다. 승인 요청 중에 명시적으로 나열된 범위만 클라이언트 애플리케이션에서 실행될 수 있습니다.

5. 각 승인은 특정 customerBelongsTo 식별자에 바인딩되어 Samsung Wallet, Apple Wallet 또는 Huawei Wallet Cloud와 같은 다양한 지갑 생태계 간의 격리를 보장합니다.

토큰 취소 메커니즘

1. 토큰 취소는 지갑 인증 중에 발행된 access_token 또는 Refresh_token 과 관련된 활성 세션 권한을 종료합니다.

2. 유효한 client_id는 원래 인증 요청에 사용된 것과 일치해야 합니다. 팀 ID 또는 기타 식별자를 포함하면 취소 시도가 무효화됩니다.

3. 요청에는 지갑 공급자의 개발자 포털에 등록된 개인 키를 사용하여 생성된 JWT 형식의 서명된 client_secret이 필요합니다.

4. token_type_hint 매개변수는 서버측 검증을 최적화하는 데 도움이 되지만 필수는 아닙니다. 생략할 경우 시스템은 내부 토큰 유형 감지를 수행합니다.

5. 성공적인 취소는 빈 JSON 본문과 함께 HTTP 200을 반환합니다. 이 응답을 받은 후에는 클라이언트 측에서 추가 조치가 필요하지 않습니다.

액세스 토큰 획득 흐름

1. 액세스 토큰은 Huawei Wallet Cloud 또는 Samsung Wallet 백엔드 시스템과 같은 지갑 클라우드 서비스에 대한 인증된 API 호출을 가능하게 하는 단기 자격 증명 역할을 합니다.

2. 토큰 획득 엔드포인트는 application/x-www-form-urlencoded 콘텐츠 유형과 함께 HTTPS POST를 사용하고 grant_type=client_credentials 를 요구합니다.

3. client_id 와 client_secret은 모두 사양별로 큰따옴표로 묶인 문자열 리터럴로 전송되어야 합니다.

4. 응답에는 access_token , "Bearer"로 설정된 token_type 및 수명(초)을 나타내는 선택적 만료_in이 포함됩니다.

5. 지갑 공급자의 관리 콘솔이나 파트너 온보딩 대시보드에서 달리 구성하지 않는 한 토큰은 기본 3600초 후에 만료됩니다.

알림 템플릿 수명주기

1. 파트너는 월렛 카드 소지자에게 푸시 알림을 보내기 전에 파트너 포털을 통해 메시지 템플릿을 등록해야 합니다.

2. 템플릿은 금지된 표현에 대해 자동화된 피해 확인 검사를 거치며 결과는 플래그가 지정된 콘텐츠와 함께 합격 또는 불합격으로 표시됩니다.

3. 거부된 템플릿은 관리자 의견이 포함된 이메일 알림을 트리거합니다. 파트너는 인용된 문제를 해결한 후 수정하여 다시 제출할 수 있습니다.

4. 판매자 푸시 유형 알림만 허용되며 메시지 유형은 마케팅 또는 기타 카테고리로 제한됩니다.

5. 다중 언어를 지원하려면 일반 정보 설정에 추가된 각 언어에 대해 별도의 템플릿 항목이 필요합니다.

카드 상태 동기화 프로토콜

1. Samsung Wallet은 사용자 기기의 카드 상태가 변경될 때마다 ADDED, UPDATED, DELETED와 같은 실시간 상태 업데이트를 사전 구성된 파트너 서버로 보냅니다.

2. 이러한 이벤트는 Send Card State API 엔드포인트를 사용하여 서버 간 HTTPS 콜백을 통해 전달됩니다.

3. 파트너 서버는 공개적으로 액세스할 수 있어야 하며 카드 ID, 상태, 타임스탬프 및 장치 메타데이터가 포함된 JSON 페이로드를 수신하고 구문 분석할 수 있어야 합니다.

4. 카드 발급 상태 확인을 위해서는 테스트 전 월렛 카드 템플릿이 VERIFYING 또는 ACTIVE 상태여야 합니다.

5. 통합은 인증서 프로비저닝 및 도메인 화이트리스팅을 포함한 삼성 지갑 온보딩의 성공적인 완료에 달려 있습니다.

자주 묻는 질문

Q: 취소된 토큰을 재승인 후 재사용할 수 있나요? A: 아니요. 일단 취소되면 토큰은 후속 승인 시도에 관계없이 영구적으로 무효화됩니다.

Q: authState 값은 암호화 방식으로 무작위여야 합니까? 답: 그렇습니다. CSRF 공격을 방지하려면 인증 요청별로 생성된 고유하고 예측할 수 없는 값이어야 합니다.

Q: authRedirectUrl에 인코딩되지 않은 특수 문자가 포함되어 있으면 어떻게 됩니까? A: 지갑 서버는 잘못된 URI 인코딩 요구 사항으로 인해 HTTP 400 오류로 요청을 거부합니다.

Q: 토큰 취소는 동일한 client_id를 공유하는 다른 사용자에게 영향을 미치나요? A: 아니요. 철회는 개별 사용자 토큰 수준에서 작동하며 다른 사용자에게 부여된 권한에는 영향을 미치지 않습니다.