Thử OAuth từ đầu đến cuối
✧ Mở bằng AI
Chuẩn bị
Tạo ứng dụng với callback HTTPS do bạn kiểm soát. Nếu dùng app đối tác chưa duyệt, đăng nhập bằng chủ app hoặc một tài khoản demo Pay2S. Khách demo không cần đăng ký ứng dụng. Gói dịch vụ còn hiệu lực và ngân hàng hoạt động là điều kiện để gọi API ngân hàng/giao dịch/webhook.
1. Cấp quyền
Mở Playground cấp quyền, điền Client ID và callback đúng với đăng ký. Chọn scopes, bấm Tạo PKCE & state. Lưu code_verifier và state tại nơi riêng, rồi tạo URL và mở trang cấp quyền. Mỗi lần tạo PKCE mới phải bắt đầu lại quy trình.
Khách đăng nhập Pay2S, xem quyền và chọn ngân hàng. Callback của bạn nhận code, state, iss (hoặc error nếu từ chối). Backend callback phải kiểm tra state khớp và iss là https://api.pay2s.vn. Playground không tự thu thập callback của website bạn và không tự xác minh state thay backend của bạn.
2. Đổi token
Mở Playground đổi token. Nhập Client ID, Secret, code vừa nhận, cùng callback và code_verifier của bước trước. Code hết hạn sau 120 giây, chỉ đổi một lần. Lưu access_token và refresh_token từ response.
3. Gọi API
Dán access_token vào ô xác thực của Danh sách ngân hàng. Lấy bank_id rồi dùng trong Danh sách giao dịch. Gửi ngày theo YYYY-MM-DD.
4. Thử webhook
Dùng Tạo webhook với URL HTTPS nhận giao dịch của phần mềm, bank_id được cấp quyền và request_key riêng. Lưu signing_secret trong response lần đầu. Tạo giao dịch demo bằng chức năng demo Pay2S hiện có và kiểm tra receiver. Xem xác minh webhook.
5. Làm mới và ngắt kết nối
Làm mới token cấp cả hai token mới; lưu đồng thời. Không gửi lại token cũ hoặc retry mù khi không nhận được response. Thu hồi kết nối vô hiệu hóa toàn bộ kết nối chứa token, gồm webhook.
Khóa và dữ liệu trong Playground
Playground OAuth gửi trực tiếp từ trình duyệt đến API Pay2S chính thức, không qua bộ mô phỏng hoặc nhật ký sandbox. Khóa/token chỉ ở bộ nhớ trang, không lưu localStorage/sessionStorage/cookie. Chuyển sang API khác, bấm Xóa thông tin, tải lại hoặc rời trang sẽ xóa thông tin trong form. Bạn tự sao chép kết quả cần giữ trước khi chuyển API.
Response có thể chứa token hoặc signing secret; không chia sẻ ảnh hoặc nội dung đó. Code mẫu luôn thay khóa/token bằng placeholder. Với ứng dụng thực tế, đổi/làm mới token ở backend và giữ Client Secret trong cấu hình riêng; Playground là công cụ thử thủ công, không phải mẫu lưu khóa cho frontend production.
Không có token demo dùng chung được cấp tự động. Nhãn API thật không có nghĩa là app đối tác đã được duyệt: quyền truy cập vẫn được backend kiểm tra.