驗證與 token

Payment API 用 CRM 產生的 token 驗證。重新產生後，舊 token 最多還能用 7 天，方便你不停機更換。

產生 token

1. 確認網域已開啟 API 串接（開發者模式）。沒開時 CRM 不會出現「開發者」分頁，請商家聯絡應援。
2. 進入 CRM「總設定」→「開發者」分頁 →「應援金流設定」→「存取 Token」，按「產生 Token」。
3. 立刻複製保存。離開頁面後就看不到完整的 token。

需要後台管理員，或「金流串接管理員」角色。詳細步驟見交給工程師串接前的準備。

帶上 token

Authorization: Bearer <token>

• Bearer 要照這個大小寫，中間只有一個空白。
• 有 body 的請求要帶 merchantId，而且必須是 token 所屬的網域，否則回 400 V0001。查詢類的 GET 請求不需要帶，網域由 token 決定。

token 的特性

特性	說明
有效期限	2026-10-15（v10.3.4）起產生的 token 一年後到期，到期回 401 A0002。之前產生的 token 沒有期限。CRM 不會顯示到期日，請自己記下產生的日期，到期前更換
重新產生	新 token 立即生效；舊 token 最多再用 7 天，但不會超過它原本的到期日。之後回 401 A0002 或 A0001
環境	測試與正式各自產生，不能互用
數量	每個網域、每個環境有一把目前的 token。連續重新產生時，可能同時有幾把還在保留期限內的舊 token
放在哪裡	只放伺服器。API 不接受瀏覽器跨網域請求，也不要放進前端或 App

更換 token 有 7 天的緩衝

按下「重新產生 Token」沒有確認視窗，新 token 立即生效，舊 token 最多還能用 7 天（舊 token 原本就快到期時會更短）。請立即更新，不要等到第 7 天：

1. 把新 token 部署到所有呼叫 API 的伺服器。
2. 確認 API 呼叫正常。
3. 從設定中移除舊 token。

token 外洩時

1. 立刻到 CRM 重新產生 token，並更新伺服器設定。
2. 重新產生後，外洩的舊 token 最多仍可使用 7 天。 需要立刻停用時，請同時聯絡應援。
3. 用查詢交易列表檢查外洩期間有沒有異常的建立或退款。

請不要把 token 貼到 email、聊天工具、AI 助手或公開的程式碼庫。

收到 401 A0001 或 A0002

可能原因	怎麼確認
A0002：token 已過期（超過到期日，或重新產生後已超過保留期限）	到 CRM 重新產生 token 並更新伺服器
token 不是這個網域目前的 token（貼錯，或重新產生後舊的已不再保留）	問商家最近有沒有按過「重新產生 Token」，或確認沒有貼錯
用錯環境	測試環境的 token 打到正式環境，或反過來
header 格式錯誤	確認是 Authorization: Bearer <token>，沒有多餘空白或換行
網域的 API 串接被關閉	請商家聯絡應援

正式環境收到的是 403（沒有 code 欄位）時，原因是 IP 還沒綁定，不是 token 的問題，見固定 IP 白名單。