文档中心MuoCeon 文档中心
MuoCeon 官方文档中心，汇集全部项目的使用指南、参考手册与更新记录。
开始探索
文档索引
- 总览API 文档的组织方式（总览 → 版本 → 上下文 → 接口组）、版本一览，以及跨版本通用的请求与响应约定。
- account 上下文总览v1 account 上下文（基础路径 /v1/account，受众 account）的接口一览与边界。
- 账户资料GET /v1/account/me 与 PATCH /v1/account/me：字段表、更新语义与约束。
- 身份断言POST /v1/auth/assertion：签发 17 秒有效、一次性消费的身份断言，供同意页使用。
- 安全记录GET /v1/auth/audit-logs：账号上发生过什么。
- 验证器应用绑定 TOTP 验证器：签发 secret 与校验首枚验证码。
- 邮箱凭据追加邮箱、确认、重发验证码与设为主邮箱。
- 凭据管理总览凭据列表、第三方提供商目录、删除与改名；各类凭据的单独页面入口。
- 通行密钥注册 WebAuthn 通行密钥：签发挑战与提交 attestation。
- 密码凭据PUT /v1/auth/credentials/password：首次设置或修改密码。
- 第三方身份POST /v1/auth/credentials/provider/:provider：把第三方账号绑定为登录方式。
- 恢复码POST /v1/auth/credentials/recovery-codes：生成一次性备用登录码。
- 会话提权POST /v1/auth/elevation 与 /elevation/complete：两段式的近期认证（RFC 9470）。
- auth 上下文总览v1 auth 上下文（基础路径 /v1/auth，受众 auth）的接口组一览、认证方式与提权规则。
- 管理回流POST /v1/auth/manage/context：校验第一方应用的回跳地址。
- 找回密码请求重置链接与完成重置；两条不需要会话的写操作。
- 资料显示名、用户名与用户名可用性检查。
- 第三方登录回调POST /v1/auth/provider/:provider/callback：用第三方授权码换取本平台会话令牌。
- 会话读取当前会话、列出全部会话、踢掉其他设备或指定会话。
- 登录与注册POST /v1/auth/login 与 POST /v1/auth/register：起点参数、流程令牌与可用验证方式。
- 令牌用流程令牌换取会话令牌、刷新轮换与登出。
- 用户信息GET /v1/auth/userinfo：OIDC 用户信息端点，受众 auth，scope 需含 openid/profile/email 之一。
- 验证挑战邮箱、密码、通行密钥、验证器与恢复码的验证端点，以及失败时的响应形态。
- v1 总览v1 版本总览：三个上下文（auth / oauth / account）、基础路径与受众、接口组命名规则、v1 的状态与变更范围。
- 授权POST /v1/oauth/preauthorize 与 POST /v1/oauth/authorize：同意页的两段式内部端点。
- 已授权应用GET /v1/oauth/grants 与 DELETE /v1/oauth/grants/:clientId：授权关系的唯一入口。
- oauth 上下文总览v1 oauth 上下文（基础路径 /v1/oauth，即 issuer）的接口组一览与调用方划分。
- 自省POST /v1/oauth/introspect：RFC 7662 令牌内省，仅机密客户端可用。
- 公钥GET /v1/oauth/jwks：JWKS 公钥集合，允许缓存 5 分钟。
- 撤销POST /v1/oauth/revoke：RFC 7009 令牌撤销，响应为空且禁止缓存。
- 换令牌POST /v1/oauth/token：三种授权类型、客户端认证方式与响应字段。
- account 上下文（v2）v2 的 account 上下文占位页：v2 尚未发布，本页未定义任何接口。
- auth 上下文（v2）v2 的 auth 上下文占位页：v2 尚未发布，本页未定义任何接口。
- v2 总览v2 版本占位页：尚未发布，未定义任何接口；说明新版本何时引入、与 v1 的关系。
- oauth 上下文（v2）v2 的 oauth 上下文占位页：v2 尚未发布，本页未定义任何接口。
- 账号与安全账号自身状态的常见问题：密码与找回、验证方式、登录会话、账号被他人使用的处理顺序。
- 密码与找回忘记密码、重置邮件没收到、重置后仍登不上、密码策略相关的常见问题。
- 登录会话与设备在哪看已登录的设备、怎么撤销单个会话或其他设备、退出登录是否影响其他设备、会话为什么会过期。
- 验证方式密码、通行密钥、验证器、恢复码、邮箱各自的用途，为什么建议保留两种，以及恢复码的使用规则。
- 授权页与权限授权页为什么会弹出、每一项权限的实际含义、只同意一部分权限会怎样、同意后多久生效。
- 授权与权限应用与应用之间的授权问题：授权页在问什么、只同意一部分会怎样、取消授权后会发生什么、为什么令牌读不了某个资源。
- 取消与撤销授权在哪里取消授权、撤销后应用还能不能访问、为什么某个应用反复要求授权、撤销与退出登录的区别。
- 常见问题总览常见问题按四类划分（账号与安全、登录与验证、授权与权限、接入与联调），以及按现象、错误码、字段的检索顺序。
- 申请客户端怎么拿到 client_id、机密客户端与公开客户端怎么选、client_secret 能不能放前端、开发者平台为什么还没上线。
- 回调与授权码流程回调地址总被判定未登记、本地开发怎么测回调、为什么不支持隐式流程与密码模式。
- 接入与联调开发者侧的常见问题：申请客户端、回调地址、授权码换令牌、刷新与校验，按联调阶段划分。
- 令牌交换与刷新invalid_grant 的排查顺序、刷新令牌为什么会突然失效、scope 为什么少了、令牌校验该用 jwks 还是 introspect。
- 登录与验证登录过程本身的问题：为什么被要求重新登录、为什么操作时被要求再验证一次、验证失败怎么处理。
- 为什么要求重新登录被要求重新登录、被要求再验证一次的原因，以及验证失败时该怎么办。
- 文档纲要MuoCeon 开发者文档的全貌：定位、面向读者、板块划分、板块导读入口、阅读路径与书写约定。
- API 文档导读API 文档与接入指南的分工、按版本与上下文的组织方式、参数表的读法，以及当前的完成度。
- 常见问题导读常见问题的四大类划分、按现象与错误码检索的方式，以及它与错误码页的分工。
- 接入指南导读接入指南覆盖的四组内容、页面之间的依赖关系、建议的三步顺序，以及读完能做到什么、不包含什么。
- 授权码流程从浏览器跳转到拿到授权码：参数、同意页内部动作、回调校验。
- 令牌交换RFC 8693 —— 第一方管理端用会话令牌换取其他受众的短期令牌。
- 换令牌与刷新令牌端点的三种授权类型、客户端认证方式、刷新轮换语义。
- 发现元数据从标准发现文档拿到端点、能力与 scope，不要硬编码路由表。
- 快速开始十五分钟内跑通「跳转 → 同意 → 回调 → 换令牌 → 读用户信息」。
- 申请客户端与登记回调提交哪些资料、拿到什么凭证、回调地址有哪些硬性规则。
- 第三方 OAuth 接入用 MuoCeon 账号登录你的应用：从申请客户端到拿到第一枚令牌。
- 端点总表所有对外端点、认证方式、缓存约束与用途。
- 错误码两种错误响应格式、全部错误码与排查顺序。
- 令牌访问令牌、刷新令牌与 id_token 的结构、claim 含义与校验步骤。
- 细粒度授权RFC 9396 —— 用 authorization_details 表达「对哪个对象做哪个动作」。
- 回调地址策略五种回调平台、地址形状规则、匹配语义与端口放宽的边界。
- scope 与受众权限清单怎么命名、哪些能申请、令牌里的 aud 到底决定了什么。
- 认证强度与提权用 acr_values 与 max_age 要求用户完成更强的认证。