开放平台与第三方生态：开放 API、OAuth 授权与开发者治理

从产品到生态的转变：
□ 产品思维：平台自己满足用户所有需求
□ 生态思维：平台提供「能力地基」，第三方补齐长尾需求
  · 内容工具：排版、配图、AI 辅助创作
  · 数据服务：运营分析、舆情监控
  · 垂直应用：电商导流、活动营销、专业社群

平台的角色：
□ 规则制定者：开放什么、审核标准、分成比例
□ 基础设施提供者：API 网关、开发者后台、沙箱环境
□ 生态运营者：开发者扶持、增长激励、违规治理

开放的价值模型：
□ 供给增量：第三方应用带来平台自建没有的场景
□ 数据飞轮：生态应用产生的内容/行为回流平台
□ 网络效应：开发者越多 → 应用越多 → 用户越多 → 开发者越多

开放的代价：
□ 治理成本：审核、风控、合规
□ 失控风险：滥用、刷量、恶意爬取
□ 数据安全：第三方访问用户数据的泄露面

OAuth 2.0 授权流程（第三方应用访问用户数据）：
用户点击授权 → 应用跳转平台授权页
  → 用户登录并确认授权范围（scope）
  → 平台签发授权码（Authorization Code）
  → 应用用授权码换取 Access Token + Refresh Token
  → 应用携带 Token 调用开放 API

Token 设计：
□ Access Token：短期（如 1 小时），访问 API 用
□ Refresh Token：长期，静默续期（注意轮换与吊销）
□ scope 最小化：按需申请，如 read:posts / write:posts
□ 用户可管理：授权列表可见、可撤销

工程安全清单：
□ Authorization Code + PKCE：防授权码截获
□ Token 绑定应用：应用凭证（client_id/secret）不得泄露
□ 权限实时校验：授权后 scope 变更/用户封禁 → Token 立即失效
□ 审计日志：谁在什么时候用哪个应用访问了什么数据
□ 沙箱环境：开发者测试用独立 tenant，不碰真实数据

开放 API 的幂等与限流：
□ 所有写接口幂等（idempotency-key）
□ 统一分页（游标）、统一错误格式（RFC 7807）

两种接入形态：
1. 纯 API 接入（外部应用）：
   · 应用跑在开发者自己的环境，通过 OAuth 调用 API
   · 优点：轻、解耦；缺点：体验割裂、能力受限
2. 小程序（平台内嵌）：
   · 应用以「宿主内页面」运行，平台管控运行环境
   · 优点：体验统一、支付/分享能力完整；缺点：平台要管运行时

小程序运行时架构：
□ 宿主容器：WebView / 类 React Native 运行时
□ 小程序包：前端代码打包 → 平台签名 → 下载 → 沙箱执行
□ 权限桥：小程序通过 bridge 调用平台能力（发帖/关注/支付）
□ 数据隔离：小程序独立存储，不能读宿主数据

接入生命周期：
注册开发者 → 创建应用 → 申请权限（scope）→ 沙箱联调
  → 提交审核（代码/资质/隐私声明）→ 上线 → 运营监控 → 下架

关键设计：
□ 应用版本管理：小程序发布要审核，灰度与回滚
□ 应用隔离：崩溃/异常不拖垮宿主（进程/渲染隔离）
□ 交互边界：小程序能触达的用户操作范围要显式声明

三层开放模型：
1. 内容能力（低风险）：
   · 发布/读取公开内容、转发、评论
   · 开放前提：只开放「用户自己的内容」与「公开内容」
2. 数据能力（中风险）：
   · 用户授权范围内的行为数据、内容数据
   · 前提：scope 最小化 + 用户授权 + 脱敏
3. 核心能力（高风险）：
   · 关系图谱、推荐模型、画像数据、支付能力
   · 开放前提：严格审核、分成绑定、风控兜底

不应开放的红线：
□ 未授权的用户隐私数据（通讯录、位置明细）
□ 可反推画像模型的特征接口
□ 绕过审核/治理的内容通道（如直接写推荐位）

能力开放清单（示例）：
| 能力 | 风险 | 开放方式 |
|------|------|---------|
| 发布内容 | 低 | 公开 API，限流 |
| 读取公开帖 | 低 | 公开 API |
| 读取我的关注 | 中 | OAuth + 用户授权 |
| 读取互动数据 | 中 | OAuth + 脱敏聚合 |
| 调用推荐接口 | 高 | 白名单 + 商业合作 |

边界控制手段：
□ 字段级裁剪：响应字段按 scope 过滤
□ 数据脱敏：聚合、加噪、限粒
□ 能力开关：按应用/按版本动态开关

准入审核（开发者 + 应用两级）：
□ 开发者实名认证：企业资质/个人实名
□ 应用信息：名称、图标、用途说明、隐私声明
□ 隐私合规：数据使用声明（收集什么、存多久、给谁）
□ 类目审核：应用类目是否在开放范围

持续治理：
□ 应用行为监控：调用模式、数据访问异常
□ 定期复审：隐私声明是否与实际行为一致
□ 信用分机制：违规扣分 → 降额 → 下架
□ 申诉通道：误判可申诉，处置可留痕

审核自动化：
□ 静态审核：应用包/代码签名、声明检查
□ 动态审核：沙箱行为测试（越权访问、异常调用）
□ 人工复核：高风险类目人工审批

准入分级：
□ 试运行：新应用低配额、小流量
□ 正式：达标后提升配额
□ 合作：核心能力开放需商业合同与风控评估

审计留痕：
□ 每个应用一个审计 ID，全链路可追溯
□ 处置动作（警告/降额/下架）全程记录

配额体系（按应用维度）：
□ 速率配额：QPS 上限（应用级别 + API 级别）
□ 总量配额：日/月调用量上限
□ 并发配额：同时进行的调用数

限流算法（见限流篇）：
□ 令牌桶：平滑突发
□ 滑动窗口：精确计数
□ 分布式限流：Redis 计数 + 本地缓存兜底

配额响应：
□ 429 + Retry-After：标准限流响应
□ 配额余量提示：响应头 X-RateLimit-* 
□ 超额收费/超额拦截：按商业化策略选择

配额与信用联动：
□ 信用分高的应用 → 配额自动上浮
□ 违规应用 → 配额降级/封禁
□ 大流量应用 → 单独评估 + 商业分成绑定

数据面保护：
□ 应用隔离：应用调用失败不影响其他应用
□ 熔断降级：第三方滥用拖垮平台 → 网关熔断
□ 重试策略：应用侧指数退避，平台侧限流标准化

分成模式：
□ 应用内购买：平台抽成（如 10%-30%）
□ 广告分成：应用内广告 → 平台抽成
□ 付费应用：应用订阅 → 平台抽成
□ 数据服务：API 按量计费 → 平台收入 + 开发者返佣

设计原则：
□ 激励一致：开发者收入与「为用户创造价值」正相关
□ 透明结算：分成明细可查（台账）
□ 阶梯费率：高流水降低抽成（绑定大开发者）

结算链路（参考第 6 篇创作者经济的结算设计）：
收入流水 → 平台记账 → 分成计算 → 对账单 → 提现/结算

关键设计：
□ 分成台账：每一笔订单的来源应用、金额、分成明细
□ 争议处理：退款/投诉影响分成的规则要明确
□ 防刷量：分成结算必须过「刷量检测」（见第 9 节）
□ 发票税务：开发者结算的税务合规（见创作者经济篇）

滥用场景：
□ 刷量分成：开发者自刷应用内购买/广告
□ 恶意爬取：用多个应用/账号绕过限流扒数据
□ 数据倒卖：把授权数据转售给第三方
□ 规避审核：用「壳应用」过审后换行为
□ 诈骗应用：仿冒官方、诱导授权

风控信号：
□ 调用画像异常：单应用调用量突增、集中在同一 IP
□ 数据流向异常：数据被大量导出/下载
□ 设备指纹：多个账号共用同一设备操作同一应用
□ 行为突变：过审后行为模式与申报不符

风控手段：
□ 应用调用实时监控 + 异常告警
□ 数据出口检测：批量导出行为识别
□ 设备/账号关联分析：发现批量注册 + 应用配合
□ 合规检查：数据存储位置、留存期限、跨境传输

处置阶梯：
□ 警告 → 降配额 → 冻结调用 → 下架 → 列入黑名单
□ 涉及违法的：证据留痕 → 移交法律渠道

治理架构总览：
┌────────────────────────────────────────────┐
│ 开发者门户（Developer Portal）              │
│  · 注册/认证/应用管理/审核状态              │
│  · 文档/沙箱/调试工具/配额查看              │
├────────────────────────────────────────────┤
│ 开放网关（Open Gateway）                    │
│  · OAuth 授权 / 鉴权 / scope 校验           │
│  · 配额限流 / 熔断 / 审计日志               │
├────────────────────────────────────────────┤
│ 治理后台（Governance Console）              │
│  · 应用审核 / 信用分 / 处置                │
│  · 监控告警 / 风控规则 / 分成结算          │
└────────────────────────────────────────────┘

分层治理原则：
□ 授权层：谁访问什么（OAuth + scope）
□ 流量层：访问多少（配额 + 限流）
□ 行为层：访问是否正常（风控 + 审计）
□ 商业层：访问是否有利可图（分成 + 结算）

能力开关矩阵：
每个「能力」× 每个「应用」→ 一个配置位
（开放 / 灰度 / 关闭），动态调整、实时生效