认证

mTLS 证书与用户认证请求头说明

说明 Mini App 合作伙伴服务器 API 的认证方式。

所有 API 都会通过 mTLS（相互 TLS）客户端证书识别调用主体（Mini App）。

mTLS 认证在建立 TLS 连接阶段完成，因此不会出现在请求头中。需要像各 API 文档中的代码示例（cURL·Python·Node.js）那样，将签发的证书和私钥文件一并配置到请求中。

关于防火墙 IP 允许列表、mTLS 证书签发·管理、请求限额等运维信息，请参考服务器 API 使用文档。

用户级 API 需要根据端点一并发送以下值之一。

• x-toss-user-key 头部 — 通过 Toss 登录签发的用户密钥（通过获取用户信息 API 获取）
• x-anon-key 头部 — 未登录用户识别密钥（通过 Mini App SDK 的 User.getAnonymousKey 函数签发）
• Authorization: Bearer {accessToken} 头部 — Toss 登录 Access Token（通过获取 AccessToken API 签发，部分登录 API）