API访问和身份验证

SPREEAI 为已批准的合作伙伴工作流程提供公共 API 参考： https://docs.spreeai.com/swagger/public/.

接入模式

API scope, environment, credentials, and allowed operations are agreed during partner onboarding. Do not assume that an internal, development, or historical endpoint is available in production.

凭证规则

• 仅将客户端密钥和访问令牌存储在安全的服务器端密钥存储库中。
• 切勿将凭据提交给 Git、文档、问题跟踪器、屏幕截图或示例应用程序。
• 切勿将凭据发送到分析或日志记录平台。
• 仅将特定于环境的凭据用于为其颁发的环境。
• 如果凭证暴露，请立即轮换。
• 编辑支持请求中的授权标头和令牌。

浏览器与服务器

Web SDK 使用合作伙伴提供的浏览器配置。客户端密钥不得包含在浏览器中。

服务器端集成应遵循当前已批准的 API 参考文档中的身份验证流程和端点定义。如果所需操作缺失，请通过合作伙伴工程团队提出请求，而不是构建未记录的路由。

网络钩子

服务器推送 Webhook 尚未包含在当前发布的 Web SDK 文档中。在设计对 Webhook 的依赖之前，请务必确认其具体需求。

环境清单

• [ ] 环境名称已记录。
• [ ] 基本 URL 来自批准的参考或入职移交。
• [ ] 证书是针对该环境颁发的。
• [ ] 秘密存储在服务器端。
• [ ] 记录编辑令牌和客户图像。
• [ ] 已同意写入操作的超时、重试和幂等行为。
• [ ] 在使用生产访问之前，非生产测试会成功。