配置应用安全与凭据
在当前应用中取得所需凭据，并按需限制 OAuth API 调用的来源 IP。用户登录、应用后台调用和 HTTPS 事件接收使用不同凭据，不能互换。
取得当前应用凭据
进入“应用管理 → 凭证与基础信息”，核对应用、环境、接入状态和对应 Client ID。
| 用途 | 凭据 | 取得方式 |
|---|---|---|
| 用户登录 | 用户身份 Client ID；无需 Client Secret | 在 OAuth/OIDC 配置中启用用户身份并登记精确回调 |
| 后台 API 或长连接 | 应用身份 Client ID 和 Client Secret | 在凭证页按当前权限临时查看或轮换，或使用页面指定的安全交付渠道 |
| HTTPS 事件或同步回调 | HMAC Secret；按当前配置使用 Verification Token、Encrypt Key | 在事件页的专用接收端配置中查看或轮换，或使用当前交付渠道 |
Secret 默认遮罩。主动查看后，将其保存到对应服务端；离页、切换企业或应用、登录失效或权限变化会清除临时值。普通配置复制、导出、文档、日志和工单不包含 Secret。应用管理员身份不会自动取得所有者专用凭据权限。
OAuth Client Secret 轮换成功后旧值立即失效，需更新应用服务端并重新获取 Token。Webhook 签名密钥按轮换规则切换；凭据交付成功不等于接收端已使用新值。轮换或查看要求验证身份时，完成验证后再明确操作。
限制调用来源 IP
只有需要固定网络来源的应用才启用 IP 白名单。先确认应用请求到达平台时的实际出口地址；使用长连接时，连接和 ACK 的出口也须符合策略。
- 打开“应用管理 → 安全设置”。
- 勾选“启用 IP 白名单”，每行填写一个允许的 IPv4、IPv6 地址或 CIDR。
- 保存后核对返回的地址集合，在允许与未允许的网络分别验证请求。
| 配置 | 要求 | 说明 |
|---|---|---|
| 启用 IP 白名单 | 可选；未配置时关闭 | 限制当前应用的应用身份和用户身份 OAuth API 请求 |
| IP 或 CIDR | 🔴 条件必填；启用时至少一项，最多 100 项 | 如 203.0.113.10、203.0.113.0/24、2001:db8::/32；示例不是你的实际出口 |
保存会规范化、去重并排序地址集合。请求来自未允许地址时被拒绝；伪造来源请求头不能取得访问权。策略不授予 API Scope、客户资源或产品权限。
修复来源限制
开发者后台保持可访问，可用于恢复应用的来源策略。当前有修改权限的用户可登录后台，更新允许地址或关闭限制后保存，再验证应用请求。
| 情况 | 处理方式 |
|---|---|
| 新网络请求被拒绝 | 核对实际出口、当前应用和环境，更新策略后再试 |
| 保存结果未知 | 点击“重试原请求”，保持原地址集合、版本和操作编号 |
| IP 或 CIDR 格式无效 | 修正页面指出的地址后重新保存 |
| 要求重新验证身份 | 在原页完成验证，再明确保存；未知请求继续恢复原内容 |
| 版本冲突 | 重新读取当前策略，核对后修改 |
| 当前无法核验权限或配置 | 等待恢复后重试；不要把暂不可用当成允许访问 |
| 凭据可能泄露 | 轮换对应凭据，不通过工单索取旧值 |