在线调试说明
打开在线调试工作台，可以向当前部署环境的 API 发送真实请求。它是纯前端工具，使用浏览器 Web Crypto 生成签名，不经过文档站服务端代理。环境和 API 地址由发布配置固定，页面不能切换。
操作步骤
- 确认页面显示的当前环境和完整 API 地址。未启用在线调试时不能发送请求。
- 选择接口。参数示例会自动填入；改为当前商户的真实 UID、活动公开码或外部用户标识。
- 输入当前环境的 API Key、Secret。
- 编辑请求体，点击「签名并发送」。正式环境每次发送前都要确认。
- 查看 HTTP 状态、JSON 响应和 requestId；结束后点击「清除凭证与结果」。
切换接口、刷新页面或离开页面会清除当前凭证和结果，需要重新填写凭证。
真实请求的影响
- 创建或更新观众会写入实际资料；同一
externalUserId可换绑未占用手机号，手机号不能清空。省略displayName保留昵称，传 null 清空昵称。 - 登录票据接口签发真实一次性票据，同一观众再次签发会覆盖原票据。
- 查询接口会返回真实观看信息；响应中的手机号和外部标识可能涉及个人资料。
- 不自动重试。取消和超时只能停止浏览器等待，不能保证已发送操作被撤销。
凭证边界
API Key 和 Secret 输入框直接显示明文，输入后仅保存在当前页面内存，不保存到 localStorage、Cookie 或服务端日志，也没有统计埋点。但浏览器扩展、共享设备和复制到剪贴板的响应仍可能被他人读取。请在可信设备使用；常规集成继续使用服务端示例。
页面不会发送 Secret；发送的是签名头。浏览器请求不携带 Cookie，不接受重定向，只能连接本次构建配置的一个 API Origin。
无法请求时
文档正文不依赖 API。在线请求还要求 API 已部署，文档及 API 使用 HTTPS，API 的 HTTP.OpenAPIOrigins 包含当前文档 Origin，文档 CSP 的 connect-src 包含当前 API Origin。
网络、CORS 和 CSP 失败在浏览器中可能都显示为无法读取响应；查看开发者工具，再按 错误码与排查 处理。网页本地双击或禁用 JavaScript 时只用于阅读，不能在线调试。