用普通 OAuth AT 换取产品和设备绑定的登录票据

只接受本 Issuer 的普通 OAuth Access Token；验证签名、零过期宽限、撤销、当前 Client、同意及 scope。已验签 aud 对应的活跃 OAuth Client 必须有 Owner 管理的 Android Asset Link 声明： top.clyact 对应 chrome_termux，com.termux 对应 termux_chrome。缺失、其他包、非活跃 Client 或产品不一致返回 403 app_not_allowed，查库失败返回 503；禁止请求自报 package_name，不新增客户端配置表。沿用 scope 交集选择提供方规则，多候选未指定 provider 返回 400；最终目标必须声明 cltermux:access， restricted 服务仍受 allowed_client_ids 限制，当前关联 UID 必须为 cltermux:正整数。关联必须 live、快照 active、辰星用户启用。每 subject 最多 10 次/60 秒签票尝试。 login_ticket 是 RS256/typ JWT/kid 的 300 秒票，不是 OAuth AT，也不是业务 session； claims 为 iss、单字符串 aud、sub、v=2、token_use=cltermux_login、uid、binding_id、正整数 binding_version、 scope=cltermux:access、app_kind、精确 device_id、整数 iat 和 exp，exp-iat=300，到期无宽限。新票及旧绑定票不能作为普通 AT 在任何 OAuth AT 消费入口使用或再次兑换。 auth 不绑定/解绑设备；Go 验票后管理设备槽。device_info 不落库或明文日志，device_id 可入成功审计。所有响应都有 Cache-Control:no-store 和 Pragma:no-cache，错误使用顶层 code/message（非 AP error 嵌套信封）。

请求示例代码

Shell

JavaScript

Java

Swift

PHP

Python

HTTP

Objective-C

Ruby

OCaml

Dart

返回响应

🟢200成功

application/json

登录票据签发成功；无业务 session 或长期凭据

Headers

Bodyapplication/json

示例

{
    "v": 2,
    "login_ticket": "string",
    "uid": "string",
    "app_kind": "chrome_termux",
    "device_id": "string",
    "expires_at": "2019-08-24T14:15:22.123Z"
}

🟠400请求有误

🟠401没有权限

🟠403禁止访问

🟠429

🔴503服务器故障

用普通 OAuth AT 换取产品和设备绑定的登录票据

请求参数

请求示例代码

返回响应