什麼是錢包批准？如何撤銷Token權限？

錢包批准定義

1. 錢包批准是指用戶明確同意第三方應用程式或服務存取其數位錢包內的特定資源或功能。

2. 此流程通常透過 OAuth 2.0 授權流程進行，其中使用者被重定向到安全錢包介面，並提示確認權限，例如查看餘額、啟動轉帳或管理儲存的憑證。

3. 批准產生authCode和authState ，兩者都透過預先定義的authRedirectUrl傳回商家。

4. 嚴格執行核准的範圍－只有在授權請求期間明確列出的範圍才能由客戶端應用程式執行。

5. 每個審核都綁定特定的customerBelongsTo標識符，確保三星錢包、蘋果錢包、華為錢包雲等不同錢包生態系統之間的隔離。

令牌撤銷機制

1. 令牌撤銷會終止與錢包授權期間頒發的access_token或refresh_token關聯的活動會話權限。

2. 有效的client_id必須與原始授權請求中使用的client_id匹配；包含團隊 ID 或其他識別碼將使撤銷嘗試無效。

3. 此請求需要 JWT 格式的簽章client_secret ，該金鑰是使用在錢包提供者的開發者入口網站註冊的私鑰產生的。

4. token_type_hint參數有助於最佳化伺服器端驗證，但不是強制的 — 如果省略，系統將執行內部令牌類型偵測。

5. 成功撤銷返回 HTTP 200，JSON 正文為空；一旦收到此回應，客戶端無需採取進一步操作。

存取令牌獲取流程

1. 存取權杖作為短期憑證，支援對華為錢包雲端或三星錢包後端系統等錢包雲端服務進行經過驗證的 API 呼叫。

2. 令牌取得端點使用具有application/x-www-form-urlencoded內容類型的 HTTPS POST 並強制grant_type=client_credentials 。

3. 根據規範， client_id和client_secret都必須作為用雙引號引起來的字串文字進行傳輸。

4. 回應包括access_token 、設定為「Bearer」的token_type以及可選的expires_in指示生命週期（以秒為單位）。

5. 除非在錢包提供者的管理控制台或合作夥伴入門儀表板中進行其他配置，否則令牌將在預設 3600 秒後過期。

通知模板生命週期

1. 合作夥伴必須透過合作夥伴入口網站註冊訊息模​​板，然後才能向錢包持卡人發送推播通知。

2. 範本經過自動危害驗證檢查是否有禁止的表達，結果顯示為「通過」或「失敗」以及標記的內容。

3. 被拒絕的範本會觸發包含管理員評論的電子郵件通知；合作夥伴可以在解決引用的問題後進行修改並重新提交。

4. 僅允許商家推播類型通知，訊息類型僅限於行銷或其他類別。

5. 多語言支援需要為常規資訊設定下新增的每種語言新增單獨的範本條目。

卡狀態同步協議

1. 只要使用者裝置上的卡片狀態發生變化，三星錢包就會向預先配置的合作夥伴伺服器發送即時狀態更新（例如「已新增」、「已更新」或「已刪除」）。

2. 這些事件是使用發送卡狀態 API 端點透過伺服器到伺服器 HTTPS 回呼傳遞的。

3. 合作夥伴伺服器必須可公開訪問，並且能夠接收和解析包含 cardId、狀態、時間戳記和設備元資料的 JSON 有效負載。

4. 發卡狀態驗證要求錢包卡範本在測試前處於 VERIFYING 或 ACTIVE 狀態。

5. 整合依賴三星電子錢包的成功完成，包括憑證配置和網域白名單。

常見問題解答

Q：撤銷的Token重新授權後可以重新使用嗎？答：不會。一旦撤銷，無論後續嘗試如何授權，令牌都會永久無效。

Q：authState 值是否需要加密隨機？答：是的。它必須是每個授權請求產生的唯一的、不可預測的值，以防止 CSRF 攻擊。

Q：如果 authRedirectUrl 包含未編碼的特殊字符，會發生什麼情況？答：由於 URI 編碼要求格式錯誤，錢包伺服器拒絕請求並回傳 HTTP 400 錯誤。

Q：令牌撤銷是否會影響共享相同 client_id 的其他使用者？答：不會。撤銷在單一使用者令牌層級進行，不會影響授予其他使用者的權限。