用户信息授权主要是为了获取支付宝用户ID（USER_ID）、授权令牌（access_token），便于开发者处理自身业务逻辑的时候使用，例如：获取支付宝用户信息、发会员卡、快捷登录等。授权支持多种场景，如：H5（需安装支付宝手机客户端）、PC、APP（可参考APP支付宝登录）。

PC授权页面示例：

H5授权页面示例：

若要实现用户信息授权功能，请按照下面的步骤实现即可。

 需要详细了解开放平台创建应用步骤请参考《开放平台应用创建指南》。

图1 设置密钥、授权回调地址  

添加功能【获取会员信息】  

添加功能【获取会员信息】

1. 下载服务端SDK 为了帮助开发者调用开放接口，我们提供了开放平台服务端SDK，包含JAVA、PHP和.NET三个语言版本，封装了签名&验签、HTTP接口请求等基础功能。请先下载对应语言版本的SDK并引入您的开发工程。 各语言版本服务端SDK详细使用说明，请参考《服务端SDK说明》。2. 接口调用配置 在SDK调用前需要进行初始化，以Java代码为示例如下：

关键参数说明:

授权完整流程如下：

需要开发的关键点是：获取auth_code、auth_code换取access_token与user_id、使用token完成其他业务处理，如token换取用户信息等。

商户/开发者通过以下的 URL 拼接规则拼接用户授权的 URL 地址，该地址展示给用户，用户需在支付宝端点开 URL 地址，并点击授权，商户/开发者即可获得用户的授权。 url拼接规则：https://openauth.alipay.com/oauth2/publicAppAuthorize.htm?app_id=APPID&scope=SCOPE&redirect_uri=ENCODED_URL

TIPS：沙箱拼接规则详见关于沙箱。

url参数说明

当用户授权成功后，会跳转至开发者定义的回调页面，支付宝会在回调页面请求中加入参数，包括auth_code、app_id、scope等，支付宝请求开发者回调页面示例如下：

关键返回参数说明：

注意：其余返回字段无需关注。

通过接口 alipay.system.oauth.token 获取access_token及userId。 接口调用示例：

至此，用户信息授权流程已结束，如果只想拿到user_id（支付宝用户唯一标识符），则无需看下一步。

开放平台的部分接口中需要依赖access_token才能执行的，因此为了拿到这个数据，需要执行以上的两个步骤才能换取到。 另外，不同的scopes的值对应的是不同的access_token，不同的token可调用不同的接口，token的效用也因此不一样，所以这些token切忌混用，具体的接口调用场景可参考：

获取会员信息网站支付宝登录商户会员卡 支付宝闪电开票APP支付宝登录生活缴费

说明： auth_code一次有效，auth_code有效期为3分钟到24小时（开放平台规则会根据具体的业务场景动态调整auth_code的有效期，但是不会低于3分钟，同时也不会超过24小时），超过有效期的auth_code即使未使用也将无法使用。 用户的每次授权动作都会生成一个新的auth_code。建议： 基于安全考虑，开发者在获取auth_code（用户授权码）后应尽快调用alipay.system.oauth.token接口换取access_token（访问令牌）。

说明： scope为公开的资源，其使用不需要签约。 开发者可以在授权请求中包含一个或者多个用户授权范围，每个授权范围称为一个scope，一个scope包含若干个开放平台接口，请求的多个scope通过英文逗号分隔。 授权的流程是通用的，在不同的业务场景需要授权的范围不同，需要根据具体产品接入文档中指定的scope替换本文中的scope参数。

scope有效期： 这里的scope有效期和前面的auth_code有效期是两个概念。 scope的有效期会影响开发者最终获取到的access_token和refresh_token的有效期，不同scope的有效期请参考具体的产品文档。

建议： 为了产品体验考虑请按需请求需要的scope，过多的授权范围容易导致用户放弃授权。建议在做产品的登录场景中使用auth_base或者auth_user做用户引流，后续根据需要具体业务需要引导用户请求特定scope的用户授权。

有效期： access_token取决于授权时指定的scope的有效期，如果授权时指定多个scope，最终的access_token的有效期取决于有效期最短的scope。        access_token截止时间=（授权时间点）+（授权后调用alipay.system.oauth.token返回的expires_in）

令牌存储要求：

注意：用户可以取消授权，取消后access_token即使在有效期也无法使用

说明： 用auth_code调用alipay.system.oauth.token接口获取access_token时会返回一个refresh_token（刷新令牌），在refresh_token有效期内可以通过refresh_token同样调用alipay.system.oauth.token刷新一个新的access_token

有效期： refresh_token取决于授权时指定的scope的有效期，如果授权时指定多个scope，最终的refresh_token的有效期取决于有效期最短的scope。 refresh_token截止时间=（调用alipay.system.oauth.token的时间+alipay.system.oauth.token返回的re_expires_in）

使用： 使用refresh_token调用alipay.system.oauth.token 刷新后可以得到一个新的access_token，access_token截止时间重新计算（对应可以看到expires_in不会变），原来的accesss_token会立即失效；同时会得到一个新的refresh_token，原来的refresh_token会失效，新refresh_token截止时间不会重新计算（对应可以看到re_expires_in会减少）

注意：用户可以取消授权，取消后refresh_token即使在有效期也无法使用

若你希望通过支付宝授权进行平台登录，同时为了让登录服务享受支付宝的安全能力，需要你在接入授权时做一些校验和处理，强烈建议做如下处理：

在 拼接授权链接做用户授权，在拼接链接中提供state参数（该参数的值需要和用户在开发者网站会话有绑定关系，同时保证一次性有效），在授权后支付宝回跳商户地址时会将该参数原样返回。在以下情况开发者应该拒绝服务：回跳链接中无state参数或者state的值与开发者平台session中记录的state参数不一致。state格式：不超过100长度的base64字符。

在浏览器的授权回跳地址的处理逻辑中做Http的Referer校验，目前蚂蚁金服授权产品的域名均在alipay.com下，建议将此配置做成可配置的。

1、条件允许的情况下回跳地址强制要求https。推荐使用阿里云证书服务（阿里云提供免费的证书服务，只需要您有自己的域名即可使用）； 2、开放平台授权地址配置时仅使用不带参数的地址，防止字符集问题导致的业务失败。需要的业务参数可以统一通过state参数传递； 3、尽量保证授权回调地址页面本身的安全性，包括但不限于页面所在服务器自身的安全性等。