请求鉴权
所有业务 API 请求须携带 OAuth 2.0 访问令牌进行身份认证。
认证方式
所有业务接口须在 HTTP Header 中携带 Bearer Token：
Authorization: Bearer <access_token>调用示例（以查询信封详情为例）：
curl -X POST 'https://sgapi.tencent-esign.com/openapi/v1/envelopes/detail' \
-H 'Authorization: Bearer eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJzdWIiOiJHU0lfeHh4In0.signature' \
-H 'Content-Type: application/json' \
-d '{"EnvelopeId": "SGEVxxxxxxxxxxxxxxxxxxxxxx"}'两种授权模式
Tencent eSign 支持两种 OAuth 2.0 授权类型：
授权码 + PKCE（适用于第三方集成）
适用于需要终端用户授权的场景（如 WPS 集成）。用户在 Consent 页完成登录、选择 Space 并授权，同时签发 access_token（1小时）和 refresh_token（永久有效）。
客户端凭据（服务端对服务端）
适用于无需用户参与的后端服务集成。使用 client_id 和 client_secret 直接向令牌端点换取 access_token。
POST https://sgapi.tencent-esign.com/openapi/v1/oauth/token
Content-Type: application/x-www-form-urlencoded
grant_type=client_credentials&client_id=YOUR_CLIENT_ID&client_secret=YOUR_CLIENT_SECRET&space_id=YOUR_SPACE_ID&scope=envelope:create envelope:read请妥善保管 client_secret，不要暴露在前端代码或公开仓库中。建议使用环境变量或密钥管理服务存储。
access_token 有效期为 1 小时，建议缓存并在到期前约 60 秒重新申请。客户端凭据模式不签发 refresh_token，过期后需重新申请。
完整参数和错误码说明，请参阅 令牌端点 API 文档。
吊销令牌
当不再需要某个令牌时，可以主动吊销使其立即失效。
撤销 refresh_token 时，其派生的所有 access_token 同步立即失效。
POST https://sgapi.tencent-esign.com/openapi/v1/oauth/revoke
Content-Type: application/x-www-form-urlencoded
token=YOUR_TOKEN&token_type_hint=access_token&client_id=YOUR_CLIENT_ID&client_secret=YOUR_CLIENT_SECRET完整说明请参阅 令牌吊销端点 API 文档。
Scope 权限
当前支持的 scope：
| Scope | 说明 |
|---|---|
envelope:create | 创建并发送信封 |
envelope:read | 读取信封状态和详情 |
envelope:manage | 管理信封（创建、发送、下载、查看等），envelope:create + envelope:read 的超集 |
stamp:manage | 管理印章（创建、编辑、删除、查看等） |
template:manage | 管理模板（创建、编辑、删除、使用等） |
member:manage | 管理成员（预添加、激活等） |
多个 scope 用空格分隔，如：envelope:create envelope:read
业务接口公共请求头
获取到 access_token 后，调用业务接口时需携带以下请求头：
以上请求头仅适用于业务接口。OAuth 令牌端点（获取/吊销令牌）使用 application/x-www-form-urlencoded 格式，不需要 Authorization 头。
错误响应
令牌端点的错误响应遵循 RFC 6749 §5.2 格式，详见 令牌端点 API 文档。