> ## Documentation Index > Fetch the complete documentation index at: https://docs.billbuddyhq.com/llms.txt > Use this file to discover all available pages before exploring further. # 获取 OAuth 访问令牌 > 使用 OAuth2 client_credentials 获取访问令牌。Client 凭据须已获准使用、处于启用状态、未撤销且未过期。如配置 IP 白名单，业务请求须来自获准 IP。Client Secret 与 access_token 仅在商户服务端使用。令牌到期后重新申请，不提供 refresh_token。获取令牌每分钟最多 60 次，超过限制返回 HTTP 429。 ## OpenAPI ````yaml /openapi/billbuddy-v2-openapi.yaml post /oauth/token openapi: 3.0.3 info: title: BillBuddy API 接入文档 version: 2.0.0 description: > BillBuddy API 接入文档，本文收录第三方服务端主动调用的认证、交易和订阅接口。请求与响应示例均使用完整但虚构的业务数据及离线生成的演示令牌，不能用于实际认证或交易。 ## 接入步骤 1. 向 BillBuddy 获取 Client ID、Client Secret、商户标识及业务标识。如启用 IP 白名单，请使用已获准的固定出口 IP 调用。 2. 通过 POST /oauth/token 获取 access_token。业务请求携带 Authorization: Bearer {access_token} 和 Accept: application/json。JSON 请求使用 Content-Type: application/json；获取令牌使用表单。 3. 按需调用支付或订阅接口。客户通过 activation_url 打开托管激活页；Client Secret 仅可保存在商户服务端。 ## 标识及金额 商户身份由 OAuth 凭据确定，无需在请求中传 business_id。需要指定业务的接口使用 merchant_id；单笔交易查询和批次结果查询的 merchant_id 可选，省略或为空时在当前商户全部业务范围内查询；交易列表使用可选的 Mid（区分大小写），省略时查询当前商户的全部业务。业务标识必须属于凭据所属商户。响应中的标识请按各接口字段说明读取。 除 TXT 批量上传文件及其 amount_cents/declared_total_amount_cents 使用分外，金额使用主货币单位，最多两位小数，例如 10.50 表示 AUD 10.50。银行账号、卡号、月份、年份和邮编建议使用字符串，以保留前导零。 ## 成功和失败 业务 JSON 成功 code=0，常规失败 code=1。交易及订阅业务接口参数校验失败通常为 code=400、data={}，HTTP 状态仍为 200。V2 业务接口认证失败为 code=1，plan/list 标识业务校验失败为 code=1。HTTP 429 表示请求超过频率限制。OAuth 端点采用标准 OAuth 响应（HTTP 200/400/401/429）。 code=0 表示接口处理成功，扣款结果须另行判断：批量 accepted 仅表示请求已受理，将异步处理；银行 Pending、预约 Pending 和 3DS 待验证均不代表支付成功。交易、DDR 订阅和扣费计划各自使用不同的 status 枚举，请参阅对应字段说明。 ## 日期及频率 请求日期建议使用 YYYY-MM-DD。今天及明天均按服务业务时区 Australia/Sydney 计算（适用夏令时）；预约取消时间以 Australia/Sydney 为准（适用夏令时），仅允许在处理日 08:15 之前取消，到达该时刻即不可取消。支付 complete_date 与收银台 expires_at 使用 DD/MM/YYYY HH:mm:ss，其他时间格式见字段说明。 RRULE 标准示例：Daily FREQ=DAILY;INTERVAL=1；Weekly FREQ=WEEKLY;INTERVAL=1;BYDAY=MO；Fortnightly FREQ=WEEKLY;INTERVAL=2;BYDAY=MO；Monthly FREQ=MONTHLY;INTERVAL=1;BYMONTHDAY=15；Quarterly FREQ=MONTHLY;INTERVAL=3;BYMONTHDAY=15；Half Yearly FREQ=MONTHLY;INTERVAL=6;BYMONTHDAY=15；Yearly FREQ=YEARLY;INTERVAL=1;BYMONTH=2;BYMONTHDAY=15。星期缩写为 MO/TU/WE/TH/FR/SA/SU。Weekly/Monthly 省略具体扣费日时按起算日确定；单一 BYDAY=SA 或 SU 按周一处理，未指定具体日期且起算日在周末时也按周一处理。单值 BYMONTHDAY=29/30/31 在短月按月末处理；BYMONTHDAY=-1 表示月底。所有规则须符合有效 RRULE 格式。 非标准频率（如每 10 天）须同时传 process_type=12、custom_cycle_type=1、custom_cycle=10，且 day_of_debit=FREQ=DAILY;INTERVAL=10。单位 1/2/3/4 对应 DAILY/WEEKLY/MONTHLY/YEARLY，以天为单位时间隔最小为 5，其余单位最小为 1，INTERVAL 须等于 custom_cycle。季度、半年及年度还须提供 day_of_debit_dtstart；完整日期须严格晚于同段 start_date，并在其后一个计费周期内。createSchedule 的实际首次扣费日期由 DDR 起算日、扣费频率及最早明天的限制共同确定。 ## 使用示例 参数类型、可空、长度、枚举及数值范围见 Schema；条件必填、日期及业务限制见字段 description。请结合两者使用。curl 示例中的 BASE_URL、ACCESS_TOKEN、CLIENT_ID 和 CLIENT_SECRET 需由调用方设置；实际测试或生产域名由 BillBuddy 提供。示例中的客户、订单、卡号、账户及日期须替换为测试环境允许使用且满足日期限制的数据。 ## 托管订阅接入 调用 POST /api/v2/subscription/create 创建订阅，取得 activation_url 后原样用于浏览器跳转或 iframe 的 src；也可将 activation_html 用作 iframe 的 srcdoc。客户在 BillBuddy 提供的页面填写支付信息并完成授权和激活。请使用返回的完整链接，无需自行拼接地址或解析链接中的凭证。Client Secret 和 access_token 仅保存在商户服务端，不得放入 iframe 地址或页面内容。 周期订阅及 By agreement 须在 start_date 当天之前激活；纯一次性订阅须在创建后 30 天内提交激活。页面可以打开不保证仍可提交，以激活接口结果为准。 ## 示例数据约定 示例中的商户、客户、订单、支付 Token、会话链接和 OAuth 凭据均为虚构，不能用于真实调用。银行卡使用标准测试卡号；银行账户为虚构账户；邮箱使用 example.com 保留域名，电话号码使用澳大利亚保留的演示号码。请求中的 BASE_URL、ACCESS_TOKEN、CLIENT_ID 和 CLIENT_SECRET 仍需替换为获准测试环境的实际值。示例中必要的空字符串、null、空数组、0 和 false 表示实际接口状态，不能统一替换为非空值。 支付响应的 sign 按各支付场景的签名规则，使用公开演示密钥 bb_docs_demo_signing_key_2030 离线计算。3DS 待验证响应的 html 不参与签名计算。该密钥仅用于文档，不能用于实际签名或认证。 ## TXT 批量交易 使用 multipart/form-data 上传固定宽度 TXT 文件。文件金额及 amount_cents、declared_total_amount_cents 均以分计，不含附加费；文件格式和示例文件见“上传 TXT 批量交易文件”。上传成功仅表示已接收，请保存 batch_id 和 file_identifier，并使用批次结果接口查询逐笔状态。批次 completed 不代表所有支付成功。查询结果须使用同一商户的 OAuth 凭据；merchant_id 可省略，如传入则须与原上传请求的业务标识一致。响应字段含义以对应接口说明为准。 ## 开发语言请求示例 请求示例提供 cURL、Python、JavaScript、PHP、Go、Java 和 Ruby，同一语言下可切换各业务场景。各语言使用与 cURL 对应场景相同的请求参数和类型。 运行环境：cURL；Python 3.9+（标准库）；JavaScript 使用 Node.js 18+，保存为 .mjs 后运行；PHP 8+ 并启用 cURL 扩展；Go 1.20+；Java 11+（示例类名为 Example，保存为 Example.java）；Ruby 3+（标准库）。 运行前设置 BASE_URL；业务接口还需设置 ACCESS_TOKEN，获取令牌需设置 CLIENT_ID 和 CLIENT_SECRET。BASE_URL 使用 API 根地址，不附加 /api/v2。TXT 上传示例从当前目录读取 payments.txt。请先替换为获准测试数据，并结合响应 code 和业务状态判断结果。 servers: - url: https://staging-api.billbuddyhq.com description: Staging 测试环境 security: - oauth2: [] tags: - name: 认证 description: OAuth2 Client Credentials。 - name: 交易 description: 单笔、批量与预约取消。 - name: 订阅 description: 订阅模板、创建订阅、创建并激活 DDR 及推送扣费计划。 paths: /oauth/token: post: tags: - 认证 summary: 获取 OAuth 访问令牌 description: >- 使用 OAuth2 client_credentials 获取访问令牌。Client 凭据须已获准使用、处于启用状态、未撤销且未过期。如配置 IP 白名单，业务请求须来自获准 IP。Client Secret 与 access_token 仅在商户服务端使用。令牌到期后重新申请，不提供 refresh_token。获取令牌每分钟最多 60 次，超过限制返回 HTTP 429。 operationId: oauthClientCredentialsToken requestBody: required: true content: application/x-www-form-urlencoded: schema: $ref: '#/components/schemas/OAuthTokenRequest' example: grant_type: client_credentials client_id: 8a6bf2d9-47c1-4e85-92b3-6d1a7c084f52 client_secret: d9K7wR2mN8vT4xQ6aH3cF5jL1sB0eG9pY7uV2zC4 responses: '200': description: 令牌签发成功。 content: application/json: schema: $ref: '#/components/schemas/OAuthTokenResponse' example: token_type: Bearer expires_in: 7200 access_token: >- eyJ0eXAiOiJKV1QiLCJhbGciOiJSUzI1NiJ9.eyJhdWQiOiI4YTZiZjJkOS00N2MxLTRlODUtOTJiMy02ZDFhN2MwODRmNTIiLCJqdGkiOiJhZGRiNDgzNDkxMGM2MThjZmJiNGRhMTJhZDMwNWEwNGU3ZmZiNWUzMTE3YjI3YmQwNTVlMjk5ZTgzOTU1ZTkyIiwiaWF0IjoxODkzNDUyNDAwLCJuYmYiOjE4OTM0NTI0MDAsImV4cCI6MTg5MzQ1OTYwMCwic3ViIjoiOGE2YmYyZDktNDdjMS00ZTg1LTkyYjMtNmQxYTdjMDg0ZjUyIiwic2NvcGVzIjpbXX0.dLrN3edou1KGfN5a2kbfDRtGA-iM4meEfwlMTPc1UHv1wGrv70ue8Mb3UU0TYxbZHxK-kHHUVH9aWwItbsyYBkou3Sgr5NAwejvuxSOmQZHk4dT-Uw982pelDqBrBmJV5qZ5qY7qeGDc0Fz_0ymre50BLOd2d3MsLj-INdwjNNIF4fr2AG9M6mDK8pEqGMNMqT20GGVEQ1YJZGwpy-XiPp-6sVS3qOjyineqTK_hN3N0QXykoEM4iFGK_wQdc681B8tfXJRpcQksNt4A1pM2G5nUdnBC-ahByGYUaij4JAkxR_LpnXoR1xQbd-j4wj8cG78WAPdJTzZcIFPRU0Gmjw '400': description: 缺少参数、授权类型或 scope 不合法。 content: application/json: schema: $ref: '#/components/schemas/OAuthError' example: error: invalid_request error_description: >- The request is missing a required parameter, includes an invalid parameter value, includes a parameter more than once, or is otherwise malformed. hint: Check the `grant_type` parameter '401': description: 客户端认证失败或 Client 业务状态不可用。 content: application/json: schema: $ref: '#/components/schemas/OAuthError' example: error: invalid_client error_description: Client authentication failed '429': description: 获取令牌请求超过频率限制，每分钟最多 60 次。按 Retry-After 提示等待后重试。 headers: Retry-After: description: 再次请求前应等待的秒数。 schema: type: integer content: application/json: schema: type: object description: 请求频率超限响应。 properties: message: type: string description: 限流提示。 example: message: Too Many Attempts. security: [] x-codeSamples: - lang: Shell label: Client credentials source: |- curl -X POST "${BASE_URL}/oauth/token" \ -H "Accept: application/json" \ -H "Content-Type: application/x-www-form-urlencoded" \ --data-urlencode "grant_type=client_credentials" \ --data-urlencode "client_id=${CLIENT_ID}" \ --data-urlencode "client_secret=${CLIENT_SECRET}" - lang: Python label: Client credentials source: > import json import os import urllib.parse import urllib.request base_url = os.environ["BASE_URL"].rstrip("/") url = base_url + "/oauth/token" headers = {"Accept": "application/json"} params = { "grant_type": "client_credentials", "client_id": os.environ["CLIENT_ID"], "client_secret": os.environ["CLIENT_SECRET"], } body = urllib.parse.urlencode(params).encode("utf-8") headers["Content-Type"] = "application/x-www-form-urlencoded" request = urllib.request.Request(url, data=body, headers=headers, method="POST") with urllib.request.urlopen(request, timeout=30) as response: print(response.read().decode("utf-8")) - lang: JavaScript label: Client credentials source: | const env = (name) => { const value = process.env[name]; if (!value) throw new Error(`Missing environment variable: ${name}`); return value; }; const baseUrl = env("BASE_URL").replace(/\/+$/, ""); const url = new URL(baseUrl + "/oauth/token"); const headers = { Accept: "application/json" }; const params = new URLSearchParams({ "grant_type": "client_credentials", "client_id": env("CLIENT_ID"), "client_secret": env("CLIENT_SECRET"), }); const body = params; headers["Content-Type"] = "application/x-www-form-urlencoded"; const response = await fetch(url, { method: "POST", headers, body, signal: AbortSignal.timeout(30_000), }); console.log(await response.text()); - lang: PHP label: Client credentials source: | "client_credentials", "client_id" => $env("CLIENT_ID"), "client_secret" => $env("CLIENT_SECRET"), ]; $body = http_build_query($params, '', '&', PHP_QUERY_RFC3986); $headers[] = 'Content-Type: application/x-www-form-urlencoded'; $curl = curl_init($url); curl_setopt_array($curl, [ CURLOPT_CUSTOMREQUEST => "POST", CURLOPT_HTTPHEADER => $headers, CURLOPT_RETURNTRANSFER => true, CURLOPT_TIMEOUT => 30, CURLOPT_POSTFIELDS => $body, ]); $response = curl_exec($curl); if ($response === false) { $error = curl_error($curl); curl_close($curl); throw new RuntimeException($error); } curl_close($curl); echo $response, PHP_EOL; - lang: Go label: Client credentials source: | package main import ( "fmt" "io" "net/http" "net/url" "os" "strings" "time" ) func mustEnv(name string) string { value := os.Getenv(name) if value == "" { panic("Missing environment variable: " + name) } return value } func main() { baseURL := strings.TrimRight(mustEnv("BASE_URL"), "/") endpoint := baseURL + "/oauth/token" params := url.Values{} params.Set("grant_type", "client_credentials") params.Set("client_id", mustEnv("CLIENT_ID")) params.Set("client_secret", mustEnv("CLIENT_SECRET")) body := strings.NewReader(params.Encode()) req, err := http.NewRequest("POST", endpoint, body) if err != nil { panic(err) } req.Header.Set("Accept", "application/json") req.Header.Set("Content-Type", "application/x-www-form-urlencoded") client := &http.Client{Timeout: 30 * time.Second} response, err := client.Do(req) if err != nil { panic(err) } defer response.Body.Close() result, err := io.ReadAll(response.Body) if err != nil { panic(err) } fmt.Println(string(result)) } - lang: Java label: Client credentials source: | import java.io.ByteArrayOutputStream; import java.net.URI; import java.net.URLEncoder; import java.net.http.HttpClient; import java.net.http.HttpRequest; import java.net.http.HttpResponse; import java.nio.charset.StandardCharsets; import java.nio.file.Files; import java.nio.file.Path; import java.time.Duration; import java.util.LinkedHashMap; import java.util.Map; import java.util.UUID; import java.util.stream.Collectors; public class Example { static String requireEnv(String name) { String value = System.getenv(name); if (value == null || value.isEmpty()) { throw new IllegalArgumentException("Missing environment variable: " + name); } return value; } public static void main(String[] args) throws Exception { String baseUrl = requireEnv("BASE_URL").replaceAll("/+$", ""); String endpoint = baseUrl + "/oauth/token"; Map params = new LinkedHashMap<>(); params.put("grant_type", "client_credentials"); params.put("client_id", requireEnv("CLIENT_ID")); params.put("client_secret", requireEnv("CLIENT_SECRET")); String encoded = params.entrySet().stream() .map(e -> URLEncoder.encode(e.getKey(), StandardCharsets.UTF_8) + "=" + URLEncoder.encode(e.getValue(), StandardCharsets.UTF_8)) .collect(Collectors.joining("&")); HttpRequest.Builder builder = HttpRequest.newBuilder(URI.create(endpoint)) .timeout(Duration.ofSeconds(30)) .header("Accept", "application/json"); builder.header("Content-Type", "application/x-www-form-urlencoded"); HttpRequest request = builder.method("POST", HttpRequest.BodyPublishers.ofString(encoded, StandardCharsets.UTF_8)).build(); HttpClient client = HttpClient.newBuilder().connectTimeout(Duration.ofSeconds(30)).build(); HttpResponse response = client.send(request, HttpResponse.BodyHandlers.ofString(StandardCharsets.UTF_8)); System.out.println(response.body()); } } - lang: Ruby label: Client credentials source: | require "net/http" require "uri" base_url = ENV.fetch("BASE_URL").sub(%r{/+$}, "") uri = URI(base_url + "/oauth/token") params = { "grant_type" => "client_credentials", "client_id" => ENV.fetch("CLIENT_ID"), "client_secret" => ENV.fetch("CLIENT_SECRET"), } request = Net::HTTP::Post.new(uri) request["Accept"] = "application/json" request.set_form_data(params) http = Net::HTTP.new(uri.host, uri.port) http.use_ssl = uri.scheme == "https" http.open_timeout = 30 http.read_timeout = 30 puts http.request(request).body components: schemas: OAuthTokenRequest: type: object description: OAuth 表单。 properties: grant_type: type: string description: 授权方式，固定 client_credentials。 enum: - client_credentials minLength: 1 client_id: type: string description: BillBuddy 分配的 OAuth Client ID，以字符串提交。 minLength: 1 client_secret: type: string description: OAuth Client Secret，仅在商户服务端保存。 minLength: 1 scope: type: string description: 可选，以空格分隔的授权范围；通常省略或使用空字符串。 default: '' required: - grant_type - client_id - client_secret OAuthTokenResponse: type: object description: OAuth 标准成功响应，不含 code/message/data，也不返回 refresh_token。 properties: token_type: type: string description: 固定 Bearer。 enum: - Bearer expires_in: type: integer description: 令牌有效期，单位秒，以实际响应为准；示例为 7200 秒。 access_token: type: string description: 'OAuth 访问令牌 access_token，后续请求置于 Authorization: Bearer 请求头。' required: - token_type - expires_in - access_token OAuthError: type: object description: OAuth 标准错误，不使用业务响应信封。 properties: error: type: string description: OAuth 错误码。 error_description: type: string description: 错误描述。 hint: type: string description: 可选纠错提示。 message: type: string description: 可选错误消息。 required: - error - error_description securitySchemes: oauth2: type: oauth2 description: OAuth2 client_credentials 授权。access_token 到期后重新获取。 flows: clientCredentials: tokenUrl: /oauth/token scopes: {} ```` This documentation is built and hosted on [Mintlify](https://mintlify.com), a developer documentation platform.