API 存取和身份驗證

SPREEAI 為已核准的合作夥伴工作流程提供公共 API 參考： https://docs.spreeai.com/swagger/public/.

訪問模式

API 的範圍、環境、憑證和允許的操作均在合作夥伴入駐階段協商決定。請勿假定內部、開發或歷史端點在生產環境中可用。

憑證規則

• 僅將客戶端金鑰和存取權杖儲存在安全的伺服器端金鑰儲存庫中。
• 切勿將憑證提交到 Git、文件、問題追蹤器、螢幕截圖或範例應用程式中。
• 切勿向分析或日誌平台發送憑證。
• 僅將特定於環境的憑證用於頒發該憑證的環境。
• 如果憑證洩露，應立即輪換使用。
• 從支援請求中刪除授權標頭和令牌。

瀏覽器與伺服器

Web SDK 使用合作夥伴提供的瀏覽器配置。客戶端密鑰不得包含在瀏覽器中。

伺服器端整合應遵循目前已核准的 API 參考文件中的驗證流程和端點定義。如果所需操作缺失，請透過合作夥伴工程團隊提出請求，而不是建立未記錄的路由。

網路鉤子

伺服器推播 Webhook 尚未包含在目前發佈的 Web SDK 文件中。在設計對 Webhook 的依賴之前，請務必確認其特定需求。

環境檢查清單

• [ ] 環境名稱已記錄在案。
• [ ] 基本 URL 來自已核准的參考或入職交接。
• [ ] 已為此環境核發憑證。
• [ ] 密鑰儲存在伺服器端。
• [ ] 日誌會隱藏令牌和客戶圖像。
• [ ] 已就寫入操作的超時、重試和冪等性行為達成協議。
• [ ] 在正式啟用生產環境存取權限之前，非生產環境測試必須成功。