跳到主要内容
Sursa Developers

POST/v1/apps

创建 OAuth 应用

create_app

登记组织的应用。public 是没有密钥的客户端（浏览器、移动应用、CLI）：只能使用带 PKCE 的授权码。confidential 是有服务器的客户端：它会获得客户端密钥，还可以通过客户端凭据（client credentials）以组织的名义获取令牌，具有角色 role 和数据权限档案 data_profile。客户端密钥 client_secret 只在此响应中和轮换时返回，请妥善保存。一个组织最多可以有 50 个应用。需要权限 ORG_MANAGE_KEYS；API 密钥或令牌需要 admin 权限范围。在 1.62.0 中新增。

身份验证

在 Authorization 请求头中传入 API 密钥：Authorization: Bearer <密钥>。

请求头参数

  • Idempotency-Keystring

    写操作安全重试所用的键：1 到 255 个可打印 ASCII 字符；建议每个逻辑操作使用一个 UUID v4。24 小时内使用同一个键重试不会再次执行操作，而是返回已保存的响应（状态、响应头和正文），并附带 Idempotency-Replayed: true 头。同一个键配合不同的方法、路径、Content-Type 或正文时返回 409 api.idempotency_mismatch；第一个请求仍在执行时返回 409 api.idempotency_in_progress，并附带 Retry-After: 1。收到 5xx 或 429 响应后，该键被释放，重试会再次执行操作。键的作用范围是组织和调用方（API 密钥、用户或自定义数据源密钥）。

    length ≥ 1, length ≤ 255

请求体

application/json

对象：OAuthAppCreate

  • namestring必填

    授权同意页面上显示的名称。

    length ≥ 1, length ≤ 100

  • descriptionstring

    授权同意页面上显示的描述。

    length ≤ 1000

  • homepage_urlstring

    应用的网站（http 或 https）。

    length ≤ 2000

  • client_typeOAuthClientType必填
  • redirect_urisarray of string

    重定向 URI：使用 https；http 仅限 localhost、127.0.0.1 和 [::1]；自定义应用协议仅限反向域名形式（com.example.app:/callback）。不能带片段。公开应用至少需要一个 URI。

    items ≤ 10

  • scopesarray of OAuthScope必填

    应用可以申请的权限范围。

    items ≥ 1

  • rolestring

    confidential 应用的客户端凭据令牌的角色：admin、editor、verifier 或 viewer（默认 viewer）。

  • data_profilestring

    客户端凭据令牌的数据权限档案；默认与新 API 密钥的档案相同。

响应

201已创建应用。

响应头

  • RateLimit-Policy

    当前生效的限制，格式遵循 IETF 草案 draft-ietf-httpapi-ratelimit-headers：以逗号分隔的项 "<name>";q=<quota>;w=<window in seconds>。key 是 API 密钥的请求速率（配额即突发量，时间窗口是配额完全恢复所需的时间；会话为 user，无凭据时为 ip）；minute、day 和 month 是组织按 UTC 计算的自然分钟、自然日和自然月的配额。

  • RateLimit

    RateLimit-Policy 中每项限制的剩余量："<name>";r=<remaining>;t=<seconds until reset>。

  • X-RateLimit-Limit

    RateLimit-Policy 中最严格一项（剩余请求数最少的一项）的限额。

  • X-RateLimit-Remaining

    最严格限制下的剩余请求数。

  • X-RateLimit-Reset

    距最严格限制重置的秒数。

  • Idempotency-Replayed

    为 true 时表示该响应是按此 Idempotency-Key 从已保存的响应重放的：操作没有再次执行。

application/json

对象：OAuthAppWithSecret

  • idstring必填

    应用 ID（app_ 加 32 个十六进制字符），同时也是 client_id。

  • namestring必填

    员工在授权同意页面上看到的名称。

  • descriptionstring必填

    授权同意页面上的描述（可以为空）。

  • homepage_urlstring | null必填

    应用的网站。

  • client_typeOAuthClientType必填
  • redirect_urisarray of string必填

    允许的重定向 URI（按字符串精确匹配）。

  • scopesarray of OAuthScope必填

    应用可以申请的权限范围。

  • client_secret_prefixstring | null必填

    客户端密钥的前几个字符，用于识别；公开应用为 null。

  • rolestring | null必填

    客户端凭据令牌的角色（admin、editor、verifier、viewer）；公开应用为 null。

  • data_profilestring | null必填

    客户端凭据令牌的数据权限档案；公开应用为 null。

  • authorizationsinteger必填

    有效的员工授权数量。

  • created_atstring (date-time)必填
  • updated_atstring (date-time)必填
  • client_secretstring | null必填

    客户端密钥（kbcs_…），只显示一次；公开应用为 null。

400请求无效：参数值或对象状态不允许执行该操作（`detail` 为消息）。

响应头

  • RateLimit-Policy

    当前生效的限制，格式遵循 IETF 草案 draft-ietf-httpapi-ratelimit-headers：以逗号分隔的项 "<name>";q=<quota>;w=<window in seconds>。key 是 API 密钥的请求速率（配额即突发量，时间窗口是配额完全恢复所需的时间；会话为 user，无凭据时为 ip）；minute、day 和 month 是组织按 UTC 计算的自然分钟、自然日和自然月的配额。

  • RateLimit

    RateLimit-Policy 中每项限制的剩余量："<name>";r=<remaining>;t=<seconds until reset>。

  • X-RateLimit-Limit

    RateLimit-Policy 中最严格一项（剩余请求数最少的一项）的限额。

  • X-RateLimit-Remaining

    最严格限制下的剩余请求数。

  • X-RateLimit-Reset

    距最严格限制重置的秒数。

application/json

对象：Error

401未发送凭据（既没有会话 Cookie，也没有 API 密钥），或未找到该密钥。

响应头

  • RateLimit-Policy

    当前生效的限制，格式遵循 IETF 草案 draft-ietf-httpapi-ratelimit-headers：以逗号分隔的项 "<name>";q=<quota>;w=<window in seconds>。key 是 API 密钥的请求速率（配额即突发量，时间窗口是配额完全恢复所需的时间；会话为 user，无凭据时为 ip）；minute、day 和 month 是组织按 UTC 计算的自然分钟、自然日和自然月的配额。

  • RateLimit

    RateLimit-Policy 中每项限制的剩余量："<name>";r=<remaining>;t=<seconds until reset>。

  • X-RateLimit-Limit

    RateLimit-Policy 中最严格一项（剩余请求数最少的一项）的限额。

  • X-RateLimit-Remaining

    最严格限制下的剩余请求数。

  • X-RateLimit-Reset

    距最严格限制重置的秒数。

application/json

对象：Error

403不允许执行该操作：角色权限不足、无权访问合集或卡片、请求在“View as”模式下执行，或组织已被暂停或删除（`detail` 为对象，包含 `code: org_suspended | org_deleted`）。

响应头

  • RateLimit-Policy

    当前生效的限制，格式遵循 IETF 草案 draft-ietf-httpapi-ratelimit-headers：以逗号分隔的项 "<name>";q=<quota>;w=<window in seconds>。key 是 API 密钥的请求速率（配额即突发量，时间窗口是配额完全恢复所需的时间；会话为 user，无凭据时为 ip）；minute、day 和 month 是组织按 UTC 计算的自然分钟、自然日和自然月的配额。

  • RateLimit

    RateLimit-Policy 中每项限制的剩余量："<name>";r=<remaining>;t=<seconds until reset>。

  • X-RateLimit-Limit

    RateLimit-Policy 中最严格一项（剩余请求数最少的一项）的限额。

  • X-RateLimit-Remaining

    最严格限制下的剩余请求数。

  • X-RateLimit-Reset

    距最严格限制重置的秒数。

application/json

对象：Error

409对象状态不允许执行该操作，例如存在重复、正在索引，或作业已处理过。

响应头

  • RateLimit-Policy

    当前生效的限制，格式遵循 IETF 草案 draft-ietf-httpapi-ratelimit-headers：以逗号分隔的项 "<name>";q=<quota>;w=<window in seconds>。key 是 API 密钥的请求速率（配额即突发量，时间窗口是配额完全恢复所需的时间；会话为 user，无凭据时为 ip）；minute、day 和 month 是组织按 UTC 计算的自然分钟、自然日和自然月的配额。

  • RateLimit

    RateLimit-Policy 中每项限制的剩余量："<name>";r=<remaining>;t=<seconds until reset>。

  • X-RateLimit-Limit

    RateLimit-Policy 中最严格一项（剩余请求数最少的一项）的限额。

  • X-RateLimit-Remaining

    最严格限制下的剩余请求数。

  • X-RateLimit-Reset

    距最严格限制重置的秒数。

application/json

对象：Error

422校验错误：请求体或参数不符合定义的结构（`detail` 为校验错误列表），或参数值超出范围（`detail` 为消息）。

响应头

  • RateLimit-Policy

    当前生效的限制，格式遵循 IETF 草案 draft-ietf-httpapi-ratelimit-headers：以逗号分隔的项 "<name>";q=<quota>;w=<window in seconds>。key 是 API 密钥的请求速率（配额即突发量，时间窗口是配额完全恢复所需的时间；会话为 user，无凭据时为 ip）；minute、day 和 month 是组织按 UTC 计算的自然分钟、自然日和自然月的配额。

  • RateLimit

    RateLimit-Policy 中每项限制的剩余量："<name>";r=<remaining>;t=<seconds until reset>。

  • X-RateLimit-Limit

    RateLimit-Policy 中最严格一项（剩余请求数最少的一项）的限额。

  • X-RateLimit-Remaining

    最严格限制下的剩余请求数。

  • X-RateLimit-Reset

    距最严格限制重置的秒数。

application/json

对象：Error

429请求过多（`api.rate_limited`）、组织每分钟、每天或每月的配额已用完（`api.quota_exceeded`；`error.details` 中包含 `quota`、`limit` 和 `reset_at`）、已达到组织的限额，或回答服务繁忙（`answers.engine_busy`）。请等待 `Retry-After` 头中给出的时间。

响应头

  • Retry-After

    重试请求前需要等待的秒数。

  • RateLimit-Policy

    当前生效的限制，格式遵循 IETF 草案 draft-ietf-httpapi-ratelimit-headers：以逗号分隔的项 "<name>";q=<quota>;w=<window in seconds>。key 是 API 密钥的请求速率（配额即突发量，时间窗口是配额完全恢复所需的时间；会话为 user，无凭据时为 ip）；minute、day 和 month 是组织按 UTC 计算的自然分钟、自然日和自然月的配额。

  • RateLimit

    RateLimit-Policy 中每项限制的剩余量："<name>";r=<remaining>;t=<seconds until reset>。

  • X-RateLimit-Limit

    RateLimit-Policy 中最严格一项（剩余请求数最少的一项）的限额。

  • X-RateLimit-Remaining

    最严格限制下的剩余请求数。

  • X-RateLimit-Reset

    距最严格限制重置的秒数。

application/json

对象：Error

错误码

除所有请求通用的错误码外，此接口还可能在 error.code 中返回以下错误码。

安全重试

每个 POST 和 PATCH 请求都传入 Idempotency-Key 头（例如一个 UUID）。24 小时内用同一个键重试时，返回已保存的响应，不会再次执行请求。

速率限制

响应带有 RateLimit 和 RateLimit-Policy 头，以及旧版的 X-RateLimit-Limit、X-RateLimit-Remaining 和 X-RateLimit-Reset 头。429 响应带有以秒为单位的 Retry-After：等待后重试。

← apps · API 参考