如果您的应用和BMOP对接后，为保证接口交互的安全性与隐私性，您的应用需要取得的授权才能访问接口。

力方帐号授权，采用国际通用的OAuth2.0标准协议，作为用户身份验证与授权协议，支持网站、手机客户端、桌面客户端。 若要了解更多关于 OAuth2.0 的技术说明文档，可参看官方网站(http://oauth.net/2/) 。

目前力方OAuth2.0服务仅支持Server-side flow获取Access Token（授权令牌）的方式。 此流程要求ISV应用有Web Server应用，能够保存应用本身的密钥以及状态，可以通过http直接访问力方的授权服务器。

此流程需要您有自己的web服务器，能够保存应用本身的密钥以及状态，可以通过http直接访问力方的授权服务器。

1、授权用户绑定

为了保护开发者利益，防止用户越权使用，所有用户在使用应用之前，必须进行授权编号绑定，在开放平台“控制台 > 应用管理 > 授权管理”页面进行设置，将需要授权的用户的A编号添加到应用授权用户列表，该设置将直接影响应用的安全等级。

2、请求入口地址

3、拼接授权URL

• 拼接用户授权需要访问的url，示例及参数说明如下：
  https://oauth.bm001.com/authorize?client_id=10000013&response_type=code&redirect_uri=http://www.bm001.com&state=123&view=web

  参数说明
  参数名字	参数选项	参数值	参数释义
  client_id	必选		即应用的appKey
  response_type	必选	code
  redirect_uri	必选		参见redirect_uri的定义
  state	可选		维持应用的状态，传入值与返回值保持一致。
  view	可选	默认为web	授权页面样式，不传默认web，可选值：web、app

4、引导用户授权登录

5、获取授权码code

登录成功，进入授权界面，如果用户点击"授权"按钮，力方开放平台会将授权码code返回到回调地址上面，应用接下来就可以用该code去换取accessToken。

• 返回值说明
  名称	说明
  code	授权码(只能使用一次，10分钟有效期)
  state	与请求授权时传入的一样
  error	错误信息

6、换取accessToken

• 根据上一步获取的授权码code获取accessToken令牌，请求方法为POST请求。
  

  请求地址：https://oauth.bm001.com/token

  换取accessToken请求参数说明
  参数名称	参数选项	参数值	参数释义
  client_id	必选		appKey
  grant_type	必选	authorization_code	用code请求token时传authorization_code
  code	必选		每个授权码只能使用1次，10分钟内有效
  state	可选		维持应用的状态，传入值与返回值保持一致。
  sign	必选		请求签名，具体签名方法详见本文档最下方签名方法

请求成功返回：

{
    status: 1,
    errorCode: 0,
    errorMessage: null,
    data: {
        access_token: "ca79e16d7363682d1bd41b6d99140115",
        expires_in: 86400,
        refresh_token: "84c97358d110fa81c5d89f496c49913e",
        re_expires_in: 86400,
        token_type: "Bearer",
        parent_id: "A00000",
        user_id: "A854800",
        user_nick: "qmopen",
        sub_user_id: "E183727",
        sub_user_nick: "maomao"
    }
}

请求失败返回：

{
    status: 0,
    errorCode: 104,
    errorMessage: "code不存在或已失效！",
    data: null
}

• 换取access_token返回参数说明
  名称	类型	示例	说明
  token_type	String	Bearer	目前accessToken类型只支持(Bearer)
  access_token	String	ca79e16d7363682d1bd41b6d99140115	Access Token即授权访问令牌
  expires_in	number	86400(表示86400秒后过期)	Access Token过期时间(单位：秒)
  refresh_token	String	84c97358d110fa81c5d89f496c49913e	Refresh Token 即刷新令牌
  re_expires_in	number	86400(表示86400秒后过期)	Refresh Token过期时间(单位：秒)
  parent_id	String	A00000	授权用户的上级编号
  user_id	String	A854800	力方账号对应的ID
  user_nick	String	qmopen	力方登录账号
  sub_user_id	String	E183727	商家员工账号对应的ID
  sub_user_nick	String	maomao	商家员工登录账号

7、授权辅助工具

access_token是有一定的有效期的，请在access_token过期之前刷新，请求方法使用POST请求。通过授权获取的refresh_token，可以用来刷新access_token的时长，操作方法类似换取access_token，仅仅请求参数有区别，说明如下：

请求地址：https://oauth.bm001.com/token

刷新access_token参数说明
参数名称	参数选项	参数值	参数释义
client_id	必选		即应用的appKey
grant_type	必选	refresh_token	刷新token时传refresh_token
state	可选		维持应用的状态，传入值与返回值保持一致。
sign	必选		请求签名，签名方法具体见下方签名方法
refresh_token	必选	refreshToken值	刷新令牌，请在refreshToken有效期内刷新accesstoken，每次刷新后，accessToken和refreshToken都会变更

• java调用示例（SDK）
• php调用示例（SDK）
• .net调用示例（SDK）

import com.qianmi.open.api.ApiException;
import com.qianmi.open.api.response.TokenResponse;
import com.qianmi.open.api.tool.util.OAuthUtils;
import com.qianmi.open.api.tool.util.QianmiContext;

public class AuthorizeDemo {

    /**
     * 根据授权码获取token
     * @param appKey
     * @param appSecret
     * @param code
     * @return
     * @throws ApiException
     */
    public String getToken(String appKey, String appSecret, String code) throws ApiException {
        QianmiContext context = OAuthUtils.getToken(appKey, appSecret, code);
        TokenResponse response = context.getTokenResponse();
        String accessToken = response.getAccessToken();
        return accessToken;
    }

    /**
     * 根据refreshToken刷新token
     * @param appKey
     * @param appSecret
     * @param refreshToken
     * @return
     * @throws ApiException
     */
    public String refreshToken(String appKey, String appSecret, String refreshToken) throws ApiException {
        QianmiContext context = OAuthUtils.refreshToken(appKey, appSecret, refreshToken);
        TokenResponse response = context.getTokenResponse();
        String accessToken = response.getAccessToken();
        return accessToken;
    }

}

<?php
    $url = "http://oauth.bm001.com/token";
    $client_id = "100000";
    $appSecret = "pi8YzLlPtBTJjEiwS4f4G74EfmSBIV2m";
    $grant_type = "authorization_code";
    $code = "2918e3cae67108d3151eb6fad6888b1a";
    $data = Array (
           'client_id'  => $client_id,
           'code' => $code,
           'grant_type'  => $grant_type
    );
    ksort($data);
    $plain_text="";
    foreach($data as  $key => $value) {
        $plain_text .= $key.$value;
    }
    $plain_text  = $appSecret.$plain_text.$appSecret;
    $sign = strtoupper(sha1($plain_text));
    $data['sign'] = $sign;
    ksort($data);
    $url_params = "";
	foreach ($data as $key => $value) {
		$url_params .= "&".$key."=".$value;
	}
	$url_params = ltrim($url_params,"&");
	//curl初始化
	$ch = curl_init();
	curl_setopt ( $ch, CURLOPT_URL, $url );
	curl_setopt ( $ch, CURLOPT_POST, 1 );
	curl_setopt ( $ch, CURLOPT_HEADER, 0 );
	curl_setopt ( $ch, CURLOPT_RETURNTRANSFER, 1 );
	curl_setopt ( $ch, CURLOPT_POSTFIELDS, $url_params );
	$return = curl_exec ( $ch );
	//出错检测
	if(curl_errno($ch)){
		echo "curl error:".curl_errno($ch);
	}else{
		print_r($return);
	}
	curl_close ( $ch );
?>

using System;
using System.Collections.Generic;
using System.Linq;
using System.Text;
using System.Api;
using System.Api.Util;



namespace ConsoleApplication
    {
     class  OAuthDemo
      {
      /// <summary>
      ///   根据授权码获取token
      /// <summary>
      /// <param name="appKey">应用appkey</param>
      /// <param name="appSecret">应用密钥</param>
      /// <param name="code">授权码</param>
      /// <returns>AccessToken</returns>

    string getToken(string appKey, string appSecret, string code)
    {
        QianmiContext context = OAuthUtils.getToken(appKey, appSecret, code);
        return context.Token.AccessToken;
    }

      /// <summary>
      ///   根据授权码获取token
      /// <summary>
      /// <param name="appKey">应用appkey</param>
      /// <param name="appSecret">应用密钥</param>
      /// <param name="refreshToken">RefreshToken</param>
      /// <returns>AccessToken</returns>
    string refreshToken(string appKey, string appSecret, string refreshToken)
    {
        QianmiContext context = OAuthUtils.refreshToken(appKey, appSecret, refreshToken);
        return context.Token.AccessToken;
    }
  }
}

package com.qianmi.util;

import java.io.IOException;
import java.security.GeneralSecurityException;
import java.security.MessageDigest;
import java.util.*;

/**
 * Created by QianMi
 */
public class SignUtil {
    public static String sha1(String str) throws IOException {
        return byte2hex(getSHA1Digest(str));
    }

    private static byte[] getSHA1Digest(String data) throws IOException {
        byte[] bytes;
        try {
            MessageDigest md = MessageDigest.getInstance("SHA-1");
            bytes = md.digest(data.getBytes("utf-8"));
        } catch (GeneralSecurityException gse) {
            throw new IOException(gse);
        }
        return bytes;
    }

    private static String byte2hex(byte[] bytes) {
        StringBuilder sign = new StringBuilder();
        for (int i = 0; i < bytes.length; i++) {
            String hex = Integer.toHexString(bytes[i] & 0xFF);
            if (hex.length() == 1) {
                sign.append("0");
            }
            sign.append(hex.toUpperCase());
        }
        return sign.toString();
    }

    public static String sign(Map<String, String> param, String secret) throws IOException {
        if (param == null) {
            return null;
        }
        StringBuilder sb = new StringBuilder();
        List<String> paramNames = new ArrayList<>(param.size());
        paramNames.addAll(param.keySet());
        Collections.sort(paramNames);
        sb.append(secret);
        for (String paramName : paramNames) {
            sb.append(paramName).append(param.get(paramName));
        }
        sb.append(secret);
        return sha1(sb.toString());
    }

    public static void main(String[] args) throws IOException {
        Map<String, String> param = new HashMap<>();
        param.put("access_token", "7466bdfc5f79a7fe1defd9a5880a4b84");
        param.put("v", "1.1");
        param.put("method", "bm.elife.recharge.mobile.getItemInfo");
        param.put("timestamp", "1428488009985");
        param.put("mobileNo", "13888888888");
        param.put("rechargeAmount", "100");
        System.out.println(sign(param, "test"));
    }
}