# 在线调试说明

[打开在线调试工作台](../debug.md)，可以向当前部署环境的 API 发送真实请求。它是纯前端工具，使用浏览器 Web Crypto 生成签名，不经过文档站服务端代理。环境和 API 地址由发布配置固定，页面不能切换。

## 操作步骤

1. 确认页面显示的当前环境和完整 API 地址。未启用在线调试时不能发送请求。
2. 选择接口。参数示例会自动填入；改为当前商户的真实 UID、活动公开码或外部用户标识。
3. 输入当前环境的 API Key、Secret。
4. 编辑请求体，点击「签名并发送」。正式环境每次发送前都要确认。
5. 查看 HTTP 状态、JSON 响应和 requestId；结束后点击「清除凭证与结果」。

切换接口、刷新页面或离开页面会清除当前凭证和结果，需要重新填写凭证。

## 真实请求的影响

- 创建或更新观众会写入实际资料；同一 `externalUserId` 可换绑未占用手机号，手机号不能清空。省略 `displayName` 保留昵称，传 null 清空昵称。
- 登录票据接口签发真实一次性票据，**同一观众再次签发会覆盖原票据**。
- 查询接口会返回真实观看信息；响应中的手机号和外部标识可能涉及个人资料。
- 不自动重试。取消和超时只能停止浏览器等待，不能保证已发送操作被撤销。

## 凭证边界

API Key 和 Secret 输入框直接显示明文，输入后仅保存在当前页面内存，不保存到 localStorage、Cookie 或服务端日志，也没有统计埋点。但浏览器扩展、共享设备和复制到剪贴板的响应仍可能被他人读取。请在可信设备使用；常规集成继续使用服务端示例。

页面不会发送 Secret；发送的是签名头。浏览器请求不携带 Cookie，不接受重定向，只能连接本次构建配置的一个 API Origin。

## 无法请求时

文档正文不依赖 API。在线请求还要求 API 已部署，文档及 API 使用 HTTPS，API 的 `HTTP.OpenAPIOrigins` 包含当前文档 Origin，文档 CSP 的 `connect-src` 包含当前 API Origin。

网络、CORS 和 CSP 失败在浏览器中可能都显示为无法读取响应；查看开发者工具，再按 [错误码与排查](./errors.md) 处理。网页本地双击或禁用 JavaScript 时只用于阅读，不能在线调试。