# 平台管理员配置

登记接口、创建应用、交付凭证并授权调用方。

本页面向负责配置 OpenAPI 的平台管理员。外部调用方不需要访问 `/admin/openapi/*` 管理接口。

## 1. 登记开放接口

进入“接口管理”，新增接口并从扫描结果中选择需要开放的路由。

系统只会展示同时满足以下条件的路由：

- 控制器位于项目 API 控制器目录或插件内置 OpenAPI 控制器目录。
- 方法使用 `#[OpenApiEndpoint]` 标记。
- 路径以 `/openapi/` 开头。
- 路径不属于 `/openapi/auth/*`。

当前代码可发现：

| 方法  | 路径                                                | 名称                        |
| ----- | --------------------------------------------------- | --------------------------- |
| `GET` | `/openapi/profile`                                  | 获取当前 OpenAPI 调用方信息 |
| `GET` | `/openapi/v1/doudian/order/union-settlement-orders` | 抖音精选联盟订单            |

新增接口时默认启用频控，QPS 为 `10`，30 天总量为 `100000`。请根据调用场景设置，并确认接口状态为“启用”。

## 2. 创建应用

进入“应用管理”，点击“新增应用”，填写名称、状态和备注。

创建成功后会展示：

- `app_key`
- `app_secret`

:::danger[Secret 只展示一次]
App Secret 创建后只展示一次。应立即通过安全渠道交付并由调用方保存；后台普通详情不会再次返回明文 Secret。
:::

## 3. 授权接口

在应用操作列打开“接口管理”：

1. 搜索接口名称、方法或路径。
2. 勾选允许当前应用调用的接口。
3. 保存授权。

只有已启用接口会出现在授权列表。授权按规范化后的 `HTTP 方法 + 路径` 精确匹配。

## 4. 联调验收

让调用方按[快速接入](/start/quickstart)换取令牌并调用 `/openapi/profile`。管理员同时检查：

- 应用处于启用状态。
- Profile 接口已登记并启用。
- 应用已勾选 Profile 接口。
- 请求返回 `200`，调用日志中可通过 `X-Request-Id` 找到记录。
- 频控响应头与后台配置一致。

## 5. 凭证与应用生命周期

- 重置 Secret 会立即吊销该应用全部有效令牌。
- 禁用应用会立即吊销该应用全部有效令牌。
- 删除应用会删除授权和令牌记录。
- Refresh Token 也可由管理员在应用的“令牌管理”中吊销。

## 6. 调用日志

“调用日志”支持查看认证、发布、授权、频控和业务阶段结果。排障时优先使用调用方提供的 `X-Request-Id` 定位。

日志不应包含原始 Secret、完整 Token、Authorization 请求头、原始请求体或完整响应体。

## 管理接口边界

`/admin/openapi/*` 使用 MineAdmin 后台登录令牌和菜单权限，不接受 OpenAPI Access Token。不要把后台管理接口作为外部调用方契约发布。