Open API

API 簽名校驗失敗怎麼辦

答：先確認使用的是同一環境的 API Key、API Secret 和基礎地址，再檢查時間戳是否超出允許的時間窗口、Nonce 是否重複、請求體是否按文檔規則規範化、bodyHash 是否一致，以及簽名原文是否使用 LF 換行和正確的 Base64 編碼。建議在 UAT 環境逐項比對規範化請求體、bodyHash 和簽名原文，不要在日誌中輸出完整 Secret。

生產環境和 UAT 環境可以混用憑證嗎

答：不建議，也通常不能混用。生產和 UAT 應分別使用各自的基礎地址、API Key、API Secret、回調地址和配置，並隔離日誌及測試資料。上線前先在 UAT 完成聯調和驗收，再切換到生產憑證。

Webhook 已配置但沒有收到交易通知怎麼辦

答：先確認回調地址可通過 HTTPS 存取，檢查 Webhook 配置、事件類型、簽名校驗、服務端響應時間和日誌。接收方應快速返回成功響應，並按事件 ID 或業務 ID 去重。Webhook 只負責通知，關鍵狀態仍應通過查詢接口複核。

調用 API 提示無權限或憑證無效怎麼辦

答：確認企業已完成 KYB 並開通 Open API 權限，API Key 與 API Secret 未過期、未註銷，且請求使用了正確的生產或 UAT 地址。還應檢查服務端是否把憑證放在正確的請求頭中。持續失敗時，請提供環境、請求時間、接口路徑和響應錯誤碼，但不要提交完整 Secret。