市场应用程序开发指南

Blesium 应用程序是为仪表板和产品(CRM、ERP、电子商务、邮件等)添加新功能的附加组件,如 Shopify App Store 或 Slack 应用程序。 不是移动应用程序安装在手机上。

工作模式

您的应用程序在"远程 HTTP"模式下运行:代码不会加载到 Blesium,它会在服务器上的网络边界之外运行,并通过签名、SSRF 保护、速度限制的 REST 调用进行通信。 无法直接访问数据库。

• 在布莱西姆 → 应用的身份、类别、目标产品、请求权限、定价和版本历史记录
• 你有一个。 → 应用程序本身:业务逻辑,接口,数据处理
• 数据访问 → 仅通过 API,仅在租户批准的权限范围内

1. 定义您的应用

从控制台创建新应用程序时填写的字段:

• 姓名 → 商店中显示的名称
• 蜗牛 → 地址附件;仅小写字母、数字和连字符
• 类别 下面的列表是其中一个。
• 说明 → 应用程序的功能
• 目标产品 → 客户关系管理 · ERP · B2B · 邮件 · 呼叫中心 · 商店 · musavir
• 所需权限 → 您的应用需要工作的范围
• 定价 → 免费 · 一次性 · 订阅

分类必须来自标准列表;列表外的键将拒绝提交。

• 融合 → 将 Blesium 连接到外部系统
• 报告 → 将报告/指标添加到仪表板
• 主题 → 视觉主题
• 自动化 → 工作流程自动化
• 销售渠道 → 销售渠道
• 消息_频道 → 消息通道
• 航运 → 货物/运输
• 元素 → 部件面板
• 部门_包 → 部门包
• 语言包 → 语言包
• 其他 → 其他

2. 权限

您的应用程序只能在其请求的权限下运行,并且租户在安装期间会批准这些权限。 请求更少的权限:不必要的宽权限会使人们对安装授权失去信心。

3. 认证

对 Blesium API 的每个请求都使用 API 密钥签名。 密钥格式为blsk_{ortam}_{kimlik}_{gizli},秘密部分在创建时只显示一次。

curl https://firmaniz.blescript.com/api/v1/me \
  -H "Authorization: Bearer blsk_live_ab12cd34_gizli-anahtariniz"

4. 使用 webhook 监听事件

与其不断地问问题,当它发生时联系。 每个交付品都有三个标题:

• 布雷斯特 事件的名称(或。 已付)
• 交付 → 交付 ID;用于消除重复
• 布列斯特 → 原始文本的 HMAC-SHA256 签名(十六进制)

您可以订阅的事件及其触发时间:

• 发票.创建 → 创建新发票
• 发票.已付 → 发票已付
• 发票.退款 → 发票退回
• 订阅.续订 → 订阅续订
• 订阅计划_更改 → 订阅计划更改
• 订阅.取消 → 订阅取消
• 用户.邀请 → 用户被邀请加入团队
• 加入 → 受邀用户加入
• 创建“中国国际高新技术成果交易会” → 支持请求已开启
• 票.已答复 → 支持请求已回复

使用固定时间比较,对照原始正文验证签名(不要转换为 JSON — 空间差异会破坏签名):

import crypto from "node:crypto";

export function imzaDogrula(rawBody, header, secret) {
  const beklenen = crypto.createHmac("sha256", secret).update(rawBody).digest("hex");
  const a = Buffer.from(beklenen);
  const b = Buffer.from(header ?? "");
  return a.length === b.length && crypto.timingSafeEqual(a, b);
}

5. 释放

发布版本时输入的字段:

• 渠道 → 稳定版或beta版
• 差额 → 从0-100%逐渐开启
• 杜魯姆 → 广播或撤回

出版物流量：

1. 提交版本 — 输入版本号、通道和更改说明。
2. 逐渐解包 — 首先将释放给一个小片段,并设定发布百分比。
3. 等待审核 — 当应用通过审核后,将在应用商店中发布。
4. 必要时还原 — 还原问题版本;不删除记录,恢复以前的版本。

在控制台中显示应用程序的状态:

6. 发布前检查清单

• 您已最小化所需权限。
• 您验证 webhook 签名,而不会重新处理重复交付。
• API 密钥仅在服务器端;您的泄漏备份流即可。
• 您的应用程序不会在出现故障时停止租户的工作(软下降) 。
• 说明和截图显示了该应用程序实际上做什么.