OAuth＆＃34;应用服务器的最佳实践＆＃34; - 广场

Question

我有一个使用个人访问令牌访问GET项目列表的应用程序。我想切换到使用OAuth，应用程序将仅使用ITEMS_READ。

我的应用程序是在专用于此应用程序的安全Ubuntu服务器实例上运行的守护程序。关于＆＃34;应用服务器＆＃34;是否有广场推荐的东西 - ＆＃34;应用服务器的典型最佳实践＆＃34;？

谢谢

Answer 1

API文档相当广泛，包括a helpful section about OAuth。我过去在OAuth实现中注意到的一些常见陷阱导致我将这些问题称为：

1. 如果您只为自己的用途构建一次性集成，则可能不值得使用OAuth。
2. 确保您了解OAuth的工作原理。如果您发现自己要求用户的客户机密或个人访问令牌，或者需要他们在connect.squareup.com上打开应用管理仪表板的任何其他内容，您需要重新考虑您的实施。只有您（开发人员）才需要了解访问令牌和其他API凭据。
3. 您通常可以要求提供比您需要的最低限度更多的OAuth范围。我建议也去MERCHANT_PROFILE_READ。这对于管理帐户非常有用，因此您可以点击/v1/me以获取您需要的各种ID。
4. Square OAuth访问令牌过期as described here。它们持续了30天，所以这可能会让那些不了解它的开发人员感到沮丧。您需要使用计划任务来续订即将过期的访问令牌，并在执行此操作后清除旧令牌。像cronjob这样简单的东西应该没问题。

就您使用的技术堆栈而言，这完全取决于您。 Square Connect团队很乐意为您提供帮助并提供建议。