已激活设备

1 客户端生命周期

写接口均为 POST application/json，请求体上限 16 KiB；正式接入使用 HTTPS。

2 客户端必须自己做的三件事

1. 保存设备身份。首启用密码学安全随机源生成 device_id（16–128 字节）与 device_secret（至少 32 字节），持久保存且重试复用同一对；秘密丢失只能由管理员在后台重置，光凭设备 ID 无法找回。
2. 先验签，再解析。把 payload 与 signature 按 base64url 无填充解码，用预置公钥对原始 payload 字节做 Ed25519 校验；不要先解析再重新序列化。
3. 核对声明并真正执行限制。确认 v=1、app_id、device_id、license_id 与本地记录一致且未过期，然后由客户端执行功能限制——服务端挡不住被篡改的客户端。

3 错误码与客户端动作

4 可直接复制的示例

激活

BASE="服务地址"
APP_ID="应用 ID"
DEVICE_ID=$(openssl rand -hex 16)
DEVICE_SECRET=$(openssl rand -hex 32)

curl -sS "$BASE/api/v1/activate" \
  -H 'Content-Type: application/json' \
  -d "{\"app_id\":\"$APP_ID\",\"code\":\"TM-从后台批次导出一个码\",\"device_id\":\"$DEVICE_ID\",\"device_secret\":\"$DEVICE_SECRET\"}"

票据验签与声明核对（Go）

payload, err := base64.RawURLEncoding.DecodeString(ticket.Payload)
sig, err := base64.RawURLEncoding.DecodeString(ticket.Signature)
if len(sig) != ed25519.SignatureSize || !ed25519.Verify(pub, payload, sig) {
    return errors.New("票据签名无效") // 先验签，再解析
}
var c Claims
if err := json.Unmarshal(payload, &c); err != nil {
    return err
}
if c.Version != 1 || c.AppID != appID || c.DeviceID != deviceID ||
    c.LicenseID != ticket.LicenseID || c.ExpiresAt <= time.Now().Unix() {
    return errors.New("票据声明与本地记录不符或已过期")
}

示例只演示关键判定；完整可运行的参考客户端见仓库 docs/API.md 与后续的示例目录。