运行与安全

​

限频

开放平台使用 60 秒计数窗口。所有 /open/v1 资源接口共享来源 IP 20,000 次/分钟限制；每个接口还分别限制单个应用的总调用量，以及该应用中单个用户的调用量。API Key 按单个 Key 计入应用维度。 常用默认值： OAuth 端点： 实际配额可能根据服务容量、安全策略或接入约定调整。应用不应以持续贴近上限的方式调用接口。

​

重试策略

不要通过切换 Access Token、创建更多 AK、重复授权或增加来源 IP 来规避限频。

​

凭证安全

1. Client Secret、Code、Access Token、Refresh Token、API Key 和 PKCE Verifier 只保存在可信服务端。
2. 使用专用密钥管理系统或加密存储，不写入代码仓库、镜像、构建产物、浏览器存储或移动端包。
3. 除 OAuth 回调的一次性 Code 外，不把凭证放入 URL；代理日志和埋点应过滤回调 Query。
4. 不在普通日志、错误上下文、Trace、审计日志或工单中粘贴完整凭证。
5. Refresh Token 原子轮换，并对同一授权加并发锁。
6. 只申请实际需要的 Scope；高权限 cloud.database.write 和 * 只用于可信自动化。
7. 用户解除绑定、注销第三方账号或业务关系结束时主动吊销 Token 并清理本地副本。

​

数据与日志

● 只保存完成业务所需的最小数据和最短期限。 ● openid、Project ID 和其他标识按字符串处理，不尝试反查或跨 Client 关联。 ● Secret 值不进入日志。 ● 记录调用结果时保留 HTTP 状态、稳定错误码和 X-Meoo-Trace-Id，不要保留请求中的敏感正文。

​

上线检查清单

☐ 回调地址与登记值完全一致，生产环境使用 HTTPS。 ☐ 每次 OAuth 请求生成并一次性校验新的 ☐ PKCE 只使用 S256，没有使用 ☐ Web/服务端 Client 使用 HTTP Basic 传递客户端凭证。 ☐ Code 兑换、Token 保存和刷新均发生在可信后端。 ☐ Refresh Token 原子轮换并禁止并发刷新。 ☐ AK 和 OAuth Token 未进入前端、日志、代码仓库和构建产物。 ☐ 只申请业务必需 Scope，并验证 Scope 不足路径。 ☐ 已按分页令牌规则翻页，未解析或修改 ☐ 已实现 SSE 未知事件兼容、终态收口和断线恢复。 ☐ 已按替换语义处理 Agent ☐ 写操作使用稳定的 ☐ 已处理 401、403、404、409、429、5xx 和网络超时。 ☐ 已按 ☐ 用户解除绑定时主动吊销授权。 ☐ 支持人员能根据

​

问题反馈

反馈问题时提供： ● 环境和接口路径，不提供完整 Token。 ● 请求时间和时区。 ● HTTP 状态、稳定错误码。 ● X-Meoo-Trace-Id。 ● 可脱敏复现步骤。 不要提供 Client Secret、Access Token、Refresh Token、API Key、Authorization Code、PKCE Verifier 或 Secret 值。