开发者：DAPP 登记与授权

登记应用

1. 完成应用开发者或相关业务主体入驻。
2. 在「工作台 → 应用」填写应用名称、分类、HTTPS 应用地址及功能说明，点击「提交应用审核」。
3. 管理员审核后核对发布状态。当前普通应用默认申请权益只读权限，不能获取冻结、核销或资产转移权限。
4. 在已登记应用中点击「生成服务端凭据」。Secret 只展示一次，保存到自己的服务端秘密配置后，点击「已保存，隐藏凭据」。

完成用户授权

1. 用户在权益中心首次进入应用，阅读权限说明并授权。授权前不能获得用户权益。
2. 通过平台主会话调用 POST /api/apps/:id/authorize，提交随机 state，取得附带 code 和 state 的已登记回调地址。
3. 应用服务端先核对回调 state，再向 POST /api/dapp/token 提交 appId、secret、code，兑换应用范围令牌。
4. 以应用令牌查询 GET /api/dapp/rights，只读取该应用绑定的用户权益。令牌有效期为半小时。
5. 用户在账号设置撤销授权，或平台暂停应用后，停止访问并引导重新授权。

POST /api/dapp/token
Content-Type: application/json

{
  "appId": "<已登记的应用 ID>",
  "secret": "<仅由应用服务端读取>",
  "code": "<本次一次性授权码>"
}

占位符不是可用凭据。本实现是限定范围的应用授权协议，不宣称完整 OAuth/OIDC 产品。不要使用平台主会话令牌替代应用令牌对外分发。

接入错误与恢复