请求确认 OpenAPI OAuth Scope 契约及稳定证券账户唯一标识

未关闭
  • 哪里不对？
#1,252 0 条评论 0 个 reaction 已指派 0 人 在 GitHub 查看

维护者通常 1 天内回复

还没有人认领这个 Issue。

评估

难度
5/5
预计耗时
一周以上
新手友好度
25/100
Issue 类型
文档
描述清晰度
基本清楚
活跃度
活跃
技术栈
openapi, python
领域
api, authentication, authorization, documentation, security

调研方向

首先检查 longbridge==4.5.0 中的 Python SDK OAuthBuilder、公开的 OpenAPI schema，以及列出的 /v1/asset 和 /v1/statement endpoint。将其文档所述行为与报告的响应进行比较，然后记录权威的 scope 名称、token 权限验证、稳定的账户身份语义，以及提交订单时使用的账户上下文。

由索引模型根据 Issue 内容生成。

描述

documentation question

主题：请求确认 OpenAPI OAuth Scope 契约及稳定证券账户唯一标识

您好，我正在开发一个 Longbridge OpenAPI 半自动交易系统，目前已完成只读账户接入、人工审批、状态机、持久化、幂等、二次行情/持仓验证和 Dry Run 安全审计。

在进入任何真实订单设计前，目前有两个协议层 blocker，希望请 OpenAPI 工程师明确确认。

一、OAuth 最小权限问题

Longbridge Agent Auth 页面允许用户选择 Market Data、Account、Trading 权限。

但当前 Python SDK longbridge==4.5.0 的 OAuthBuilder 没有公开 scope 参数，并且我们没有找到官方文档说明自定义 OAuth Client 应使用哪些正式 scope 值，也没有找到可靠的 token scope introspection API。

请确认：

Market Data、Account、Trading 三类权限对应的正式 OAuth scope 值/名称分别是什么？
自行注册的 OAuth Client 应如何明确请求“Market Data + Account，但不包含 Trading”？
是否有官方 token introspection endpoint 或 SDK API，可以确认当前 Token 实际拥有的权限？
如果没有 introspection，官方推荐应用如何证明一个 Token 不具备交易写权限？

我们不会通过尝试真实下单来测试 Trading 权限是否缺失。

二、稳定证券账户唯一标识问题

我们已经检查当前 Python SDK 4.5.0、公开 OpenAPI schema，并直接通过 OAuth RAW REST 查询：

/v1/asset/account
/v1/asset/stock
/v1/asset/fund
/v1/statement/list

当前真实账户响应中均未发现：

aaid
account_id
account_no
security_account_id
brokerage_account_id

account_channel 可以看到，但官方文档定义其为 Account Type，因此我们没有把它当作唯一账户 ID。

请确认：

Longbridge OpenAPI 是否存在官方保证稳定、唯一、长期可用的 Brokerage/Security Account Identifier？
如果是 aaid，请确认它的正式语义，以及是否保证跨 session、OAuth refresh 和重新登录保持稳定。
同一 Unified Account 下如果有多个 Brokerage/Security Account，它们是否分别具有不同的稳定 ID？
account_balance、stock_positions 与最终 submit_order 是否使用同一个账户身份上下文？
真实订单提交接口是否允许显式指定账户 ID，还是完全由 OAuth Token 的 Account Context 决定？
如果订单接口不允许传账户 ID，Longbridge 官方建议第三方应用如何防止用户在同一 OAuth subject 下切换子账户后，将已审批订单误提交到另一证券账户？
有没有官方推荐的账户身份字段，可以在“Proposal 创建时”和“真实下单前立即复核时”证明仍然是同一个具体证券账户？

背景说明

当前系统已能正常读取真实账户约 15 个美股持仓和账户资产；问题不是账户数据读取失败，而是我们在进行真实交易安全设计前，需要获得官方可依赖的权限和账户身份契约。

在上述两个问题得到正式确认以前，我们的系统会保持 DRY RUN，并且不会实现任何真实订单写入接口。

希望此问题能升级给熟悉 OAuth/OpenAPI 协议与账户路由的工程师确认。谢谢。

主要语言
TypeScript
星标
61
派生
30
平均合并
7 小时 27 分钟
30 天内合并 PR
19

环境准备

  • 没有 Dockerfile 或 Docker Compose 文件
  • 没有 Pull Request 模板
  • 阅读贡献指南

从这里开始

  1. 先读完整个 Issue，再读项目的贡献指南。
  2. 在 Issue 下留言说明你要接手 —— 这能避免两个人做同样的事。
  3. Fork 仓库，在一个分支上完成修改。
  4. 提交 Pull Request，并在描述里引用这个 Issue 编号。

longbridge/developers 的其他 Issue

查看 longbridge/developers 的全部 Issue

相似的 Issue

更多 TypeScript Issue

把新 issue 发到你的邮箱

精选适合新手参与的 GitHub issue 摘要。