AI 平台应用接入教程：用 OAuth 授权码与 PKCE 完成用户授权

2026-11-11 · 原创·功能教程

应用接入：让用户授权后使用你的应用

对第一次接触 AI 平台应用接入的开发者来说，目标很明确：让用户完成授权后，你的应用才能在其许可范围内使用平台能力。本文按准备、操作、结果查看与安全注意事项四步说明。真实入口为 `/docs#docs-oauth`。

一、准备：确认客户端类型与权限范围

先阅读 `/docs#docs-oauth`，确认你的应用是否属于公共客户端。事实要求：公共客户端必须使用 S256。然后按业务需要列出最小 scope，不要申请与当前功能无关的权限。另需注意，ext 余额与用量权限是独立的，不能把两者混为一个授权目标。

二、操作：使用 OAuth 授权码与 PKCE

接入采用 OAuth 授权码流程与 PKCE。发起授权时，按文档要求生成并校验 PKCE 参数；公共客户端使用 S256。引导用户完成授权后，用授权码换取访问凭据。整个过程只请求已确认的最小 scope，便于用户理解授权用途。不要把 ext token 放在浏览器前端代码中；需要调用 ext 相关能力时，应由服务端安全处理。

三、结果查看：授权与用量

授权完成后，应用可在已授予的 scope 内调用。若你需要分档调用或查看本应用用量，应按 `/docs#docs-oauth` 的说明确认应用维度的查看方式，并区分余额权限与用量权限。不要根据未经确认的界面或外部记忆推断额度、价格或参数。

四、安全注意事项

第一，公共客户端坚持使用 S256。第二，scope 按业务最小化申请，余额与用量权限分别判断。第三，ext token 不下发到浏览器前端，不在日志或客户端代码中暴露。第四，授权失败或权限不足时，先检查 scope 与客户端类型，再回到文档核对流程。完成这些步骤后，你可以在模型广场或对应工具中继续体验应用接入能力。