淘寶開放平台 OAuth 授權登錄流程整合指南

業務目標

用戶點擊「淘寶登錄」→ 跳轉淘寶授權 → 回調獲取 Token → 調用淘寶 API 獲取用戶信息/訂單數據。

OAuth 2.0 流程

1. 引導授權：https://oauth.taobao.com/authorize?response_type=code&client_id=APP_KEY&redirect_uri=REDIRECT_URI&state=RANDOM
2. 獲取 Code：用戶同意後，淘寶重定向至 REDIRECT_URI?code=CODE&state=STATE。
3. 換取 Token：後端 POST https://oauth.taobao.com/token，攜帶 grant_type=authorization_code&code=CODE&client_id=APP_KEY&client_secret=APP_SECRET&redirect_uri=REDIRECT_URI，獲取 access_token、refresh_token。
4. 調用 API：攜帶 access_token 調用 taobao.user.buyer.get、taobao.trade.amount.get 等。

安全要點

• state 參數防 CSRF，需驗證回調時一致。
• client_secret 僅後端持有，嚴禁前端暴露。
• Token 過期前用 refresh_token 刷新。

總結

切勿嘗試模擬登錄表單，官方 OAuth 是唯一合規、穩定的接入方式。