用途限定令牌与撤销

不在令牌中保存个人信息

示例采用不可预测的不透明令牌，由服务器管理范围及有效期。除令牌外，还要求接收方验证身份，以降低被盗影响。

token_hash

用于匹配令牌的查找值。不要在日志或普通管理界面中保存原始令牌。

audience

获准的接收方。拒绝其他集成合作方使用。

scope / purpose

获准的数据与用途。默认不授予广泛权限。

resource_ref

订单或配送记录。防止用于其他记录。

expires_at / remaining_uses

有效期与使用限制。服务器拒绝过期或已消耗的令牌。

单次使用与响应丢失

ID 引用已保存的地址。令牌为特定订单、应用和字段增加访问条件，两者都应保护。单次令牌在成功获取后消耗，不保证重放相同响应。响应丢失时，应先确认处理状态再决定是否重新签发。

到期、撤销与变更

更正时注册新地址，而非原地修改。查询当前绑定，将其 Version 作为 expectedVersion 更改订单，再签发新版本令牌。订单版本变化会阻止所有旧版本令牌。同版本追加签发不会撤销现有令牌。删除旧地址前检查其他订单及保留要求。已取得的明文无法收回。

状态转换

active → consumed / expired / revoked。不得重新激活已撤销状态。

缓存

限制撤销传播延迟。高风险操作必须验证权威状态。

局限

撤销无法收回合作方已读取的个人信息。

DATA / INTEGRATION EXAMPLE

数据与集成示例

这些示例用于说明设计。字段名及值仅供演示，并非可执行的 API 参考。

{
  "operation": "Delivery token issuance example",
  "request": {
    "proxy_id": "nym_example_01",
    "resource_ref": "order_example_01",
    "audience": "carrier-a",
    "scope": [
      "shipping.address.read"
    ],
    "expires_in_seconds": 600,
    "max_uses": 1
  },
  "response": {
    "token": "tok_example_not_a_real_token",
    "expires_in_seconds": 600
  }
}

600 秒与一次使用仅为示例。签名 JWT 本身不保证提前撤销或单次使用，还需额外状态管理。

相关技术设计

为您的业务流程设计集成。

梳理留存数据、合作方及必要操作，寻找减少暴露的方法。