Luồng cài đặt OAuth

Authorization code + PKCE, token ngoại tuyến và trực tuyến, làm mới token.

Chuyển người bán tới trang ủy quyền

Redirect URL phải khớp chính xác URL đã đăng ký. Dùng PKCE (S256) và tham số state để chống CSRF.

https://<shop>.shopgo.vn/admin/oauth/authorize?client_id=sg_…&scope=read_products,write_orders&redirect_uri=https://app.example.com/auth/callback&state=xyz&code_challenge=…&code_challenge_method=S256

Đổi mã lấy access token

Token ngoại tuyến dùng cho tác vụ nền theo từng lượt cài; token trực tuyến (24 giờ) giới hạn theo quyền của người dùng hiện tại. Refresh token xoay vòng mỗi lần dùng — dùng lại token cũ sẽ thu hồi cả chuỗi.

Quyền truy cập

Chỉ yêu cầu quyền cần thiết. Quyền write_x bao gồm read_x. Trường dữ liệu cá nhân của khách hàng bị ẩn cho tới khi ShopGo duyệt yêu cầu dữ liệu được bảo vệ.