安全指南

当Core API配置了签名密钥后，成功 POST /v1/licenses/verify 和 POST /v1/licenses/validate-hardware 回应可能包括 license_token （智威汤逊）， license_token_expires_at， 和 license_jwks_uri。集成商验证 JWT 离线 使用来自的公钥 GET /v1/licenses/jwks （JWKS）。切勿发布 API 私人的 桌面、移动或浏览器应用程序内的签名密钥。

仅在客户端应用程序中不对称： 嵌入或获取 民众 JWKS URL，通过以下方式解析 JWK kid 在 JWT 标头中，并验证 RS256。 HMAC 共享机密适用于 服务器到服务器 webhooks，不适用于广泛分发的二进制文件。

所需索赔检查： 拒绝令牌，除非 token_use 等于 licensechain_license_v1 （防止将此 JWT 与会话或其他令牌混淆）。

aud: 如果存在，则与您的仪表板匹配 应用程序ID。您的验证员应确保 aud 等于您在解锁功能之前期望的应用程序。

TTL和刷新： 断言生命周期取决于 API 上的卖家级别（lc_vt：基础 ≈ 15m，高级 ≈ 1h，定制 ≈ 24h）。前 exp，再次调用 verify 来获取新的 token。短暂缓存 JWKS（例如几分钟）并在未知情况下重新获取 kid 或轮转后验证失败。

服务器权威检查： 当离线 JWT 接受不够时（例如立即撤销、应用程序端策略执行），请调用 POST /v1/licenses/introspect 和 license_token。 API验证签名+声明并实时返回 active 来自数据库的状态。

拒绝名单撤销： 经过身份验证的后端可以通过以下方式撤销特定发布的 JWT POST /v1/licenses/revoke-token （通过令牌 jti）。 撤销后，内省返回 active: false 合理 token_revoked.