第三方应用授权说明
使用 烧饼论坛 账号登录第三方网站或应用前，须在授权页确认应用申请的权限。本页说明授权范围、应用审核状态及撤销授权的方法。
一、授权范围
授权后，第三方应用将获得仅对该应用有效的用户标识，以及授权页列明的信息，通常包括用户名和头像；申请邮箱权限的应用还会获得邮箱地址。本站不会向应用提供账号密码或授权范围以外的信息。
授权页会列明授权后跳转的域名，即第三方应用所在的网站。本站授权页始终位于 烧饼论坛 的域名下。
二、各项权限的含义
授权页列明应用申请的各项权限。应用可申请的权限由站方限定，实际授权范围以授权页所列项目为准。
| 授权页上的文字 | 应用可获取的信息或执行的操作 | 哪些应用可以申请 |
|---|---|---|
| 你的用户 ID | 用于识别同一用户的稳定标识。第三方应用获取的标识在不同应用间互不相同，无法据此跨应用关联用户；官方应用获取的是本站用户 ID。 | 所有应用 |
| 读取你的用户名和头像 | 当前用户名、头像和主页地址。用户改名后，应用会在下次登录时获取更新后的用户名。 | 所有应用 |
| 读取你的邮箱地址 | 账号邮箱及其验证状态。账号没有邮箱时不提供。 | 官方应用、已审核应用 |
| 读取你所属的用户组 / 站内角色 | 用户所属的用户组和管理身份，仅返回站方为该应用配置的可见范围内的信息。 | 官方应用，以及管理员单独授予的已审核应用 |
| 读取你的等级、成长值和烧饼余额 | 当前等级、成长值和可用烧饼。详见下一节。 | 官方应用、已审核应用 |
| 扣除你的烧饼 | 应用可通过本站接口从用户账户扣除烧饼，扣费受单笔和每日限额约束。详见下一节。 | 仅官方应用 |
| 在你离线时继续访问已授权的信息 | 应用可在用户未访问应用时刷新登录状态，无需每次重新授权。 | 所有应用 |
本站不会向任何应用提供账号密码、私信内容、两步验证信息，或授权页未列出的任何信息。
三、等级、成长值与烧饼
部分应用根据用户在 烧饼论坛 的等级或成长值确定服务范围。申请「读取你的等级、成长值和烧饼余额」权限的应用，可在登录时获取用户当前的等级和成长值；烧饼余额由应用按需向本站实时查询，不由应用自行保存。
只有官方应用可以扣除烧饼。这类应用会在授权页单独列出「扣除你的烧饼」一项，站方为应用设置单笔扣费上限，以及对同一会员的每日累计扣费上限（按 UTC 计日）。超过上限的扣费会被本站拒绝。第三方应用无论是否审核，都不能扣除烧饼。
每笔扣费和退款均记录在烧饼明细中，扣费记录注明应用名称和用途。已授权的应用页面显示各应用的累计扣费金额。撤销应用授权后，该应用立即失去扣费权限。
所有应用均只能读取成长值和等级，不能修改。
四、应用分类与审核状态
官方应用由站方运营。已审核应用由会员开发，站方已审核其用途、授权页内容和开发者账号。未审核应用由会员注册，尚未通过站方审核。
未审核应用仅限开发者本人及其指定的测试用户登录，可获取的信息限于用户标识、用户名和头像。
五、未经审核的应用
授权页顶部的黄色提示表示应用尚未通过站方审核。该状态本身不表示应用存在违规行为，用户仍需自行判断是否授权。应用名称下方会显示开发者用户名，点击可查看其主页和发言记录。
非该应用的开发者或指定测试用户无法完成授权，本站不会向应用提供其信息。
六、授权前的注意事项
授权前，请核对跳转域名是否与所访问的应用一致，确认开发者身份可信，并判断申请的信息是否为应用功能所必需。例如，仅用于阅读帖子的工具通常不需要邮箱权限。
「授权」按钮在页面打开一秒后方可点击，防止用户在其他页面的点击操作误触授权。
七、撤销与举报
在已授权的应用页面可查看全部已授权应用、各应用的授权范围和上次使用时间，并随时撤销单个或全部第三方应用的授权。撤销后，相关应用持有的登录凭证立即失效。
修改密码、退出全部设备或注销账号时，第三方应用的登录状态也将失效。
发现应用冒充官方、骗取账号或滥用数据时，可在授权页或已授权应用列表中举报。举报数量达到规定阈值后，应用将自动下线，交由管理员处理。开发者须遵守开发者条款。
八、开发者
如需为网站或应用接入 烧饼论坛 账号登录，可在我的应用创建应用。创建应用要求账号已开启两步验证（验证器或通行密钥），并满足站方设定的等级或用户组条件。新应用处于未审核状态，仅限开发者本人和指定的测试用户登录；提交审核并通过后，才向全体会员开放，并可申请邮箱、等级等更多权限。
本站实现标准的 OpenID Connect，发现文档地址为 https://sb.sb/.well-known/openid-configuration，仅支持授权码模式，并要求使用 PKCE。创建应用后，可在应用页面查看接入配置；接入方式、各项 claim 的含义、登出、限流和扣费接口的完整说明见接入指南。