Embedded 集成概览

Embedded 模式让你的终端用户在自有应用中查看余额、用量和权益，并调用已授权的模型能力。App 后端负责识别用户与交换短期令牌；浏览器和移动端永远不接触 AppClient secret。

sequenceDiagram
    participant U as 终端应用
    participant A as App 后端
    participant C as AI Credits
    U->>A: 已认证的业务会话
    A->>C: Basic 凭据 + 匿名化 external_user_id
    C-->>A: 短期不透明访问令牌
    A-->>U: 通过受保护会话返回令牌
    U->>C: Bearer 令牌调用 /users/me/* 或数据 API
    C-->>U: 当前用户范围内的结果

安全边界

• AppClient secret 只存在于 App 后端的 Secret Manager 与必要的进程内存中。
• external_user_id 必须是应用范围内的匿名化标识，不得使用邮箱、手机号或用户名。
• 终端只持有短期不透明令牌；SDK 不自动持久化、记录或刷新令牌。
• Application code 在客户端构造时固定，终端只能访问自己的 /users/me/* 资源。
• 金额、Credits、费率和计费值都是十进制字符串；不要转成二进制浮点数。

接入顺序

1. 在 App 后端完成 token exchange。
2. 选择 TypeScript、Swift 或 Kotlin SDK，实现安全的令牌提供器。
3. 按需接入自助服务 API与数据 API。
4. 接收服务端事件时按Webhook 指南验证原始请求。
5. 使用测试清单覆盖租户隔离、过期、撤销与重放场景。

应用内购买与现成 UI 组件尚未交付，分别参见商店购买和界面指南的当前状态。