Question

授权流程是第三方开发者经腾讯文档用户授权，获取用户自有资源访问令牌（Access Token）的过程。用户的资源包括用户的文档、 表格、智能表格、文件夹等。在web 应用中的交互流程如下：

在第三方小程序或App中，可通过跳转腾讯文档小程序（详见小程序），引导用户授权您的腾讯文档开放平台应用，发起授权流程，得到用于换取 access_token 的授权码，用于获取 Token 并调用腾讯文档开放平台 API。

1. 准备工作

登录腾讯文档开放合作平台 (opens new window)，注册成为开发者。创建第三方应用且应用审核成功后，系统将自动分配 Client ID 和 Client Secret。

Client ID: 第三方应用的唯一标识。在 OAuth2.0 授权和后续 OpenAPI 调用流程中需要作为请求参数。 Client Secret: Client ID 对应的密钥，在后台服务间接口调用时用来验证应用的合法性。

注意：Client Secret 用于验证开发者身份，需要对 Client Secret 进行妥善存储，不要随意泄漏。如发生泄露请及时登录开放平台修改。

2. 授权流程

腾讯文档采用 OAuth2.0 的授权码方式 (opens new window)来进行用户身份验证和获取用户授权。

授权过程分为 4 步：

1. 第三方应用构造并且发起授权请求。 详细内容见 发起授权接口。

2. 用户手动点击同意授权。

3. 带上 Authorization Code 重定向到第三方应用提供的回调地址。

4. 第三方应用后台服务使用 Authorization Code 换取 Access Token 和 Refresh Token。 详细内容见获取 Token 接口。

参数	含义	有效时间
Authorization Code	授权码	有效时间为 5 分钟，且只能使用一次
Access Token	用户的访问令牌	用户的访问令牌，发起所有 OpenAPI 请求都需要带上，用来认证用户身份和校验访问权限。Access Token 的有效期为 30 天，大小限制参考令牌长度
Refresh Token	用户刷新令牌	用户刷新令牌，Access Token 过期后，可以用 Refresh Token 来更新 Access Token，Refresh Token 的有效期为 1 年，大小限制参考令牌长度

注意：第 4 步中，必须在第三方应用的后台服务发起换取令牌的请求，谨防密钥泄漏。需要对用户的 Access Token 和 Refresh Token 进行妥善存储，不要随意泄漏。

3. 获取用户信息

拿到 Access Token 可以调用获取用户信息的接口来获取用户的 Open ID、昵称、头像等基础信息。详细内容见获取用户信息接口。

Open ID 是用户的唯一标识，发起所有 Open API 请求都需要带上。

注意：Open ID 在个别情况下可能会变化，例如用户进行了帐号绑定或者解绑操作。

4. 调用 Open API

Open API 可以用来实现对用户的文档数据进行管理，和对文档内容进行读写。发起请求时，必须在 Request Header 中带上 Client ID、Open ID 和 Access Token 三元组作为校验信息。

注意：为了安全考虑，所有访问腾讯文档 Open API 的请求需由后台服务发起。