如何获取平台凭据

​

选择注册方式

​

Pre-registration（推荐）

​

向 Clink 提供

• 应用名称、技术联系人和目标商户场景。
• Sandbox UAT 和 Production 的部署信息。
• 首次用户授权使用的固定 HTTPS redirect_uri。MCP 和 RESTful API 需要；Vault SDK 不需要。
• 要使用的接入方式和能力，Clink 据此登记 Scope，见下表。
• 推荐：平台 RSA 公钥，见登记 RSA 公钥。

​

Clink 签发

​

登记 RSA 公钥

• MCP 的 get_credential 和 RESTful API 的 POST /agent/platform/credential 都使用这把公钥；Vault SDK 不需要。
• RESTful API 未登记公钥且服务端没有开启明文模式时，凭证接口返回 71211012（credential_public_key_not_configured）。生产环境建议登记。
• 私钥只保存在平台可信组件中，解密方式见加密凭证解密。

​

保存凭据

• CLINK_CLIENT_ID、CLINK_CLIENT_SECRET。同时接入 Vault SDK 时，另存一组 Vault 凭据。
• 平台登记的精确 redirect_uri。
• RSA 私钥（如果登记了公钥）。

​

CIMD

{
  "client_id": "https://agent.example.com/.well-known/oauth-client.json",
  "client_name": "Example Agent",
  "redirect_uris": ["https://agent.example.com/oauth/clink/callback"],
  "token_endpoint_auth_method": "none",
  "grant_types": ["authorization_code", "refresh_token"],
  "response_types": ["code"],
  "scope": "wallet:read wallet:setup payment:execute instruction:read instruction:write refund:read refund:write events:read events:consume offline_access"
}

• URL 使用 HTTPS，带路径，不带 query 和 fragment。
• 文件中的 client_id 与文件 URL 完全一致。
• 直接返回 HTTP 200，Content-Type 为 application/json；Clink 不会跟随跳转。
• 文件不超过 5 KB，不包含任何 Secret。

​

DCR

POST {registration_endpoint}
Content-Type: application/json

{
  "client_name": "Example Agent",
  "redirect_uris": ["https://agent.example.com/oauth/clink/callback"],
  "grant_types": ["authorization_code", "refresh_token"],
  "response_types": ["code"],
  "token_endpoint_auth_method": "none",
  "scope": "wallet:read wallet:setup payment:execute instruction:read instruction:write refund:read refund:write events:read events:consume offline_access"
}

​

CIMD 和 DCR 的共同规则

• 两者都是 public client，没有 client_secret，必须使用 Authorization Code + PKCE（S256）。
• 注册的 Scope 是之后每次授权请求的上限，超出会返回 invalid_scope，所以注册时要写全 Agent 可能用到的 Scope。
• 每个部署、租户或安装实例只注册一次，所有用户复用同一个 client_id。
• 没有 client_secret 就不能调用 /platform/sessions，取得 client_id 后需要自己发起用户授权，见下文。

​

发起用户授权

1. 读取 {API_BASE_URL}/.well-known/oauth-protected-resource/mcp，从 authorization_servers 取得 issuer。
2. 读取 {issuer}/.well-known/oauth-authorization-server，取得 authorization_endpoint 和 token_endpoint。不要把端点写死在代码里。
3. 为当前用户生成并临时保存 state 和 PKCE code_verifier，用 S256 计算 code_challenge。
4. 把用户重定向到 authorization_endpoint，参数全部 URL 编码：

response_type=code
client_id={CLIENT_ID}
redirect_uri=https://agent.example.com/oauth/clink/callback
scope=wallet:read payment:execute instruction:read instruction:write events:read events:consume offline_access
resource={MCP_URL}
state={RANDOM_STATE}
code_challenge={S256_CODE_CHALLENGE}
code_challenge_method=S256