Unipaas
基础
Unipaas 为数字平台和市场（SaaS、零工经济、B2B/B2C 市场）提供端到端的嵌入式支付。您可以入驻供应商（子商户）、接受付款、管理账户（余额）并支付款项——同时控制资金流向并保持 PSD2/PCI 合规。
获取沙箱密钥。 在 https://portal.unipaas.com/signup 创建一个免费测试账户。测试账户无限制且始终可用。在门户的开发者/密钥部分找到您的私钥。沙箱和生产环境的凭据完全独立，不共享任何数据。
基础 URL。
- 沙箱：
https://sandbox.unipaas.com/platform - 生产环境：
https://api.unipaas.com/platform
两种身份验证模式（详情见 references/auth.md）。
- 服务器到服务器：直接在 API 调用中发送您的私钥作为
Authorization: Bearer {{PRIVATE_KEY}}（用于创建结账、收款、账户、支出、入驻）。私钥必须保留在服务器端。 - 两步
/authorize流程（用于客户端平台嵌入）：您的服务器使用scopes和（通常）一个vendorId将私钥POST到/authorize，并收到一个临时的accessToken。客户端使用该访问令牌——绝不使用私钥。
幂等性。 为避免重试时的重复执行，请在 POST 请求中添加 requestId: <id> 标头。多次应用相同的 requestId 会产生单个结果。请求 ID 有效期为 24 小时。
决策图
四个产品，三个集成层级。选择与您的开发能力和 PCI 状况相匹配的层级。
| 产品 | 无代码 | 低投入 | 中等投入 |
|---|---|---|---|
| 入驻 | 托管入驻链接 | 嵌入式 UI（unipaas.components） | 入驻 API |
| 接受付款 | 支付链接（门户） | 结账页面 / Web SDK | 收款 API（服务器到服务器） |
| 账户管理 | 门户视图 | 账户/余额组件 | 账户 API |
| 支付款项 | 通过门户手动/定期支出 | 支出表单 / 账户组件 | 支出 API |
指南：
- 想要零代码？ 使用支付链接、托管入驻链接、门户支出。
- 想要自定义 UI 且低投入 + 减少 PCI 范围？ 使用结账页面（重定向）、Web SDK 安全字段或买家网页嵌入；在入驻/余额/门户中使用平台嵌入。
- 想要完全控制 / 白标 / 原生应用？ 使用 API。收款 API（原始卡数据）需要 PCI SAQ D。
注意：发送时不带 vendorId 的交易将记录在平台账户下。
客户端结账路径
完整步骤见 references/web-sdk.md。两种买家支付路径，均通过服务器端 POST /pay-ins/checkout 返回的 sessionToken 进行身份验证——不是 /authorize 访问令牌。
- 安全字段 SDK — 加载
https://cdn.unipaas.com/unipaas.sdk.js（暴露Unipaas全局对象）。构建您自己的卡表单，然后new Unipaas().initTokenize(sessionToken, fields, options)。安全字段是该包的一个功能，不是单独的包。 - 买家网页嵌入 — 加载
https://cdn.unipaas.com/embedded-ui.js，然后使用unipaas.buyerComponents(sessionToken, config)和.create("checkout"|"card"|"digitalWallet").mount("#id")。
身份验证边界（重要）：
- 买家支付（安全字段和买家网页嵌入）→ 来自
POST /pay-ins/checkout的sessionToken。 - 平台嵌入（
unipaas.components：余额、发票、入驻、支付门户、通知）→ 带有 scopes 和 vendorId 的/authorize访问令牌。买家结账不使用/authorize访问令牌。
在任何客户端身份验证之后，在服务器端验证，使用 GET /pay-ins/{authorizationId}；状态必须为 CAPTURED 才算成功。
参考
- references/auth.md —
/authorize流程、scopes、令牌生命周期、幂等性。 - references/accept-payments.md — 接受支付产品、三个层级、结账页面、创建支付、令牌化、webhook。
- references/web-sdk.md — 由
sessionToken驱动的两种客户端买家支付路径。 - references/security.md — 密钥处理、哪些内容保留在服务器端、PCI 范围。