接口签署

客户服务端携带签署人 Signing PIN，代替其完成签署（签署人无需进入签署页）。

• 签署人须已配置 Signing PIN 并对发件人确认过 ERSD 授权书（首次同意在签署页/前端完成）；两者任一缺失都会报错
• 支持幂等：Idempotency-Key 请求头优先，其次请求体 IdempotencyKey，两者都未传报错；同 key 命中此前成功请求时原样返回（IdempotentReplay=true）
• 签名资源解析：未在 Tabs 中显式绑定的签署控件，使用 SignatureId / SealId 作为默认签名资产，二者至少提供其一；签名图/印章须属于该签署人
• 路径参数 envelopeId、recipientId 在 URL 中指定，不在请求体中

适用控件与默认资产

• 本接口代签署人完成「签名 / 盖章」，只覆盖签署类控件（如 signHere 签名、initialHere 首字母、stamp 印章）。若信封上还存在需填写的其他控件（text/date/email/number 等填写型字段），本接口不会代为填写——此类信封请先由签署人在签署页完成填写后再调用，否则将报「控件未填写」错误
• Tabs 为可选项，一般无需逐个控件绑定：未在 Tabs 中指定的签署控件会按 SignatureId（签名）或 SealId（印章）作为默认资产

Credential（JWE）

按 JWE（RFC7516）加密签署 PIN：alg=RSA-OAEP-256、enc=A256GCM。

1. 公钥：GET {baseUrl}/.well-known/jwks.json 取 use=enc 的 key（含 kid）。
2. 明文 payload：

{"typ":"sign_pin","secret":"<PIN>","context":{"userId":"<收件人 UserId>","envelopeId":"<路径 envelopeId>","recipientId":"<路径 recipientId>"},"iat":<秒>,"exp":<iat+60>,"jti":"<uuid>"}

1. 加密为 5 段 Compact（protected.encryptedKey.iv.ciphertext.tag）填入 Credential。

要点：必须 5 段（WebCrypto 需把末尾 16 字节 tag 单独成段）；header 作 AAD；exp≤60s、jti 一次性（重试需重签）；context 与收件人及 URL 一致。

明文 PIN：默认不接受，需联系我们开通。