注册应用
通过开放平台注册
1. 注册开发者账号
访问 CaelLabID 开放平台，登录后点击「成为开发者」，填写开发者/团队名称。
2. 创建应用
进入仪表盘，点击「创建应用」，填写以下信息：
| 字段 | 必需 | 说明 |
|---|---|---|
| 应用名称 | 是 | 显示在用户授权页面上，2-128 字符 |
| 应用描述 | 否 | 简要说明应用功能 |
| 应用主页 | 否 | 你的应用官网 URL |
| 回调 URL | 是 | 用户授权后跳转的地址，每行一个 URL，必须是 HTTPS |
| 允许的 Scope | 是 | openid 必选，可额外勾选 profile |
| 客户端类型 | 是 | 「机密客户端」用 Client Secret 认证，适用服务端应用；「公共客户端」不校验密钥、强制 PKCE，适用桌面 App / SPA / CLI |
| 强制 PKCE | 否 | 默认勾选。开启后授权请求必须携带 code_challenge，否则被拒 |
3. 保存凭证
创建成功后会显示：
- Client ID — 应用的唯一标识
- Client Secret — 应用的密钥
重要
Client Secret 仅在创建时显示一次！请务必立即保存到安全的地方。如果丢失，只能在应用详情页重置（会撤销所有活跃 Token）。
应用限制
| 限制项 | 值 |
|---|---|
| 每个开发者最多创建应用数 | 10 |
| 应用名称长度 | 2-128 字符 |
| 开发者名称长度 | 2-64 字符 |
| 创建应用频率限制 | 每分钟 1 次 |
| 密钥重置频率限制 | 每小时 3 次 |
凭证管理
在应用详情页你可以：
- 查看
Client ID - 重置
Client Secret— 重置后所有使用旧密钥的 Access Token 和 Refresh Token 会立即失效 - 编辑应用信息（名称、描述、回调 URL、Scope）
- 切换客户端类型（机密 ↔ 公共）。改成公共客户端会先弹确认：此后不再校验密钥，任何知道
Client ID的人都能发起授权 - 开关强制 PKCE（公共客户端固定开启，不可关闭）
- 删除应用 — 不可撤销，所 有相关授权和 Token 将被永久删除
安全建议
Client Secret绝对不要放在前端代码、Git 仓库或日志文件中- 只在你的服务端代码中使用
Client Secret - 定期轮换密钥（建议每 3-6 个月）
- 使用 HTTPS 作为回调 URL
- 拿不住密钥的应用（桌面 App / SPA / CLI）用公共客户端，并完整实现 PKCE——此时 PKCE 是唯一的凭据保护
- 推荐所有应用都开启 PKCE：它是授权码被截获时的最后一道防线