支付宝小程序插件 插件授权

插件授权的说明

与 第三方应用授权 场景下由 ISV 主动引导商户进行授权流程不同，小程序插件场景下的授权动作由商户在服务市场的订购行为触发。在商户订购后支付宝服务端会通过 Http 协议发送一个授权消息到三方应用所配置的插件应用，该授权主要为应用网关配送。请按照本文的要求正确处理该通知，处理完后请参见 插件后端开发 获取 app_auth_token。

插件授权消息说明

报文示例

注意：实际收到的是 POST 请求，参数在 Post Body 中。

ISV_GATEWAY_URL?****&Data={"headers":{"User-Agent":"Mozilla/4.0","Content-Type":"application/x-www-form-urlencoded; charset=UTF-8"},"data":{"notify_type":"open_app_auth_notify","charset":"UTF-8","biz_content":"{\\"notify_context\\":{\\"trigger\\":\\"appstore\\"},\\"detail\\":{\\"app_auth_token\\":\\"202004BB9d3901a7d39d4350a49fb00000000001\\",\\"user_id\\":\\"20881200000000002\\",\\"re_expires_in\\":32140800,\\"auth_time\\":1587573752655,\\"app_refresh_token\\":\\"202004BB81e2730b7ecc4295a551e00000000001\\",\\"auth_app_id\\":\\"20210000002\\",\\"app_id\\":\\"20190000000\\",\\"expires_in\\":31536000,\\"app_auth_code\\":\\"fa861f9d7032404bae53f54247000001\\"},\\"error\\":{}}","notify_time":"2020-04-23 00:42:32","sign":"****","auth_app_id":"2021000000000002","app_id":"2019000000000000","version":"1.0","sign_type":"RSA2","notify_id":"2020042300222004232009800000000007","status":"execute_auth"},"method":"POST","pid":"2088500000000002","url":"https://*****/gateway.do","timeout":16000}

协议参数说明

biz_content 说明

示例如下（为了展示方便，示例对 JSON 展示进行了格式化处理）

"data":


    {"notify_type":"open_app_auth_notify",


     "charset":"UTF-8",


     "biz_content":"{


         \\"notify_context\\":{\\"trigger\\":\\"appstore\\"},


         \\"detail\\":{


               \\"app_auth_token\\":\\"202004BB9d3901a7d39d4350a49fb00000000001\\",


               \\"user_id\\":\\"20881200000000002\\",


               \\"re_expires_in\\":32140800,


               \\"auth_time\\":1587573752655,


               \\"app_refresh_token\\":\\"202004BB81e2730b7ecc4295a551e00000000001\\",


               \\"auth_app_id\\":\\"20210000002\\",


               \\"app_id\\":\\"20190000000\\",


               \\"expires_in\\":31536000,


               \\"app_auth_code\\":\\"fa861f9d7032404bae53f54247000001\\"


                        },


         \\"error\\":{}


      }",


     "notify_time":"2020-04-23 00:42:32",


     "sign":"****","auth_app_id":"2021000000000002",


     "app_id":"2019000000000000",


     "version":"1.0",


     "sign_type":"RSA2",


     "notify_id":"2020042300222004232009800000000007",


     "status":"execute_auth"


    }

• detail：授权的详细信息

• notfy_context：本次授权关联的一些上下文信息（开发者可以忽略）

• error：授权过程中出现的异常情况（开发者可忽略，后续该字段会废弃）

appstore_online_pay 的可选取值如下：

开发者处理逻辑说明

根据授权主体进行授权令牌存储

授权主体表示授权令牌的参与方，区别于第三方应用授权的授权主体（授权关系建立在商户 app_id 和三方应用的 app_id 的二者），插件授权的授权主体新增了插件维度的信息，即：商户 app_id、 三方应用 app_id 和插件 ID 三者之间的授权关系。开发者保存插件授权令牌的情况下特别需要注意以下几点：

1. 令牌存储（包括访问令牌和刷新令牌）需要有插件 ID 维度的信息，否则若三方应用同时开发多个插件，商户同时订购了这些插件，会存在不同插件的令牌相互覆盖的问题。
2. 令牌存储（包括访问令牌和刷新令牌）需要有商户 app_id 维度的信息，不能用商户 uid，否则若商户名下多个小程序同时使用同一个插件的时候，会出现商户不同商户小程序的令牌相互覆盖的问题。
3. 令牌存储需要存储 auth_time，用于保证授权令牌的最终一致性。

授权消息处理

1.消息处理 插件授权消息为老版本的开放平台消息，通过以下方式确认为插件授权消息（同时满足以下条件）。

• notify_type=open_app_auth_notify
• status=execute_auth
• agent_app_id 非空

2.授权消息的最终一致性

考虑下述原因，若 授权主体 一致，开发者需要根据 auth_time 保证令牌的最终一致性。

• 在极少的特殊操作情况下存在商户短时间进行多次授权的情况；
• 由于网络延迟原因开发者接受到授权消息的时间并不一定是授权发生。