概述

• 商户对第三方应用授权成功之后，第三方应用可以帮助商户完成相应的业务逻辑，比如可以代替商户发起当面付的收单请求；
• 授权采用标准的OAuth 2.0流程，只有第三方应用才能够使用该授权方案；
• 第三方应用授权目前只对OpenAPI（2.0）接口有效，适用于所有的第三方应用。

注意：
要进行第三方调用，开发者需要开通相应的权限。例如对于当面付，开发者和商户都需要开通“当面付”，开发者才能帮助商户发起当面付的收单请求。

授权流程

1. 开发者申请第三方应用；
2. 应用申请成功之后，申请当前应用下的接口权限；
3. 按照规则拼接授权页面的链接，并且引导商户授权；
4. 授权成功后，在回调页面上获取app_auth_code；
5. 通过接口，将app_auth_code换取为app_auth_token；
6. 使用app_auth_token代替商户发起接口请求。

以下将从URL拼接及引导授权开始做详细介绍：

第一步：URL拼接与引导授权

url拼接规则：https://openauth.alipay.com/oauth2/appToAppAuth.htm?app_id=APPID&redirect_uri=ENCODED_URL

使用场景举例：开发者通过URL拼接方案，构造授权页面，并且引导商户授权。

url参数说明：

PC授权页面交互：

H5授权页面交互：

注：H5授权页只能在支付宝客户端里使用，否则会报错，如下。

第二步：获取app_auth_code

当商户授权成功后，会跳转至开发者定义的回调页面，支付宝会在回调页面请求中加入参数，包括用户授权码app_auth_code、开发者的app_id等，需要注意的是支付宝仅保证app_auth_code，app_id参数的有效性。支付宝请求开发者回调页面示例如下：

第三步：使用app_auth_code换取app_auth_token

接口名称：alipay.open.auth.token.app

换取授权访问令牌，开发者可通过获取到的app_auth_code换取app_auth_token和商户的userId以及AppId。app_auth_code作为换取app_auth_token的票据，每次商户授权带上的app_auth_code将不一样，app_auth_code只能使用一次，一天未被使用自动过期。 app_auth_token有效期为365天，并且可以被无限次刷新。

接口请求示例

请求参数说明

同步响应结果示例

同步响应参数说明

第四步：代替商户发起请求

获取app_auth_token后，开发者就可以帮助商户发起请求，其他参数与商户自身发起请求时保持完全一致，只是POST请求参数中增加了app_auth_token这个参数。

注意：

• 代替商户发起请求时请务必带上app_auth_token，否则支付宝将认为是本应用替自己发起的请求。app_auth_token是POST请求参数，不是biz_content的子参数。
• 代替商户发起请求时，POST公共请求参数中的app_id应填写开发者的app_id；如果业务参数biz_content中需要AppId，则应填写商户的AppId。

以服务窗修改菜单接口为例：