docusignapi - 将 DocuSign 集成到 SPA 中的选项

Question

我正在为一个 session 提交一份文件。我想将 DocuSign 与 Alfresco 基于 Angular 的开发人员框架，特别是 Alfresco Content App 集成。

为了简单起见，我想考虑一下可以 100% 从浏览器完成的工作流程，而无需我自己的任何后端代码。

我怀疑我可以为在 Alfresco UI 中找到的任何文档创建“立即签署此文档”类型的操作。这可以启动不需要我自己的任何后端服务的 OAuth 流程。

我想我需要将我的积分器 key 放入 SPA。然后，任何使用该应用程序的人都可以看到这一点。通过阅读文档，我不清楚“泄露”这个 key 是否可以？

我是否可以在不添加自己的后端服务的情况下在 SPA 中实现其他用例？诸如发送一份文件让一个或多个人签名之类的事情？或者在 Angular UI 中嵌入签名体验？

我在 DocuSign 博客上看到了以下系列:

https://www.docusign.com/blog/dsdev-building-single-page-applications-with-docusign-and-cors-part-1/

在阅读了该文档以及 REST API 文档后，我仍然不清楚是否有可能在没有我自己的后端服务支持的情况下实现这样的东西。

我也没有在网上找到任何可以联系 DocuSign 的开发人员布道者讨论我的选择的地方。我相信 DocuSign 开发人员会监控 SO，所以认为这是下一个最好的事情。

Answer 1

好问题。浏览器实现 Same Origin Policy .因此，正如我在博客系列中所写(请参阅下面列出的所有三篇文章)，您将需要一个 CORS 网关来从在浏览器本身中运行的 Angular 程序向 DocuSign 系统进行 API 调用。
好消息是创建私有(private) CORS 网关并不难。请参阅该系列的第 2 部分:

第 1 部分。Introduction

第 2 部分。Building a private CORS gateway

第 3 部分。An example React SPA

验证
您的应用在对 DocuSign 进行 API 调用时将需要访问 token 。有多种技术可用于为您的应用提供所需的访问 token :

您的应用程序本身可以使用 DocuSign 对用户进行身份验证。在这种情况下，由于安全问题 - 正如您在问题中提到的那样 - 您不使用 OAuth 授权代码授予流程。相反，您使用 OAuth Implict Grant flow ，专为此用例而设计。此流程在博客系列的第 3 部分中进行了演示。

您可以在您的服务器中实现 OAuth 授权代码授予流程，然后在您的服务器和浏览器应用程序之间创建一个私有(private) API 以获取访问 token 。

私有(private) API
作为使用 CORS 的替代方法，您可以在您的服务器上实现您自己的 DocuSign API 方法的私有(private)版本。然后您的浏览器应用程序将发送 private_send_envelope向您的服务器请求。您的服务器将管理访问 token ，将请求发送到 DocuSign，并将响应转发回您的浏览器应用程序。
此模式与您关于实现后端服务的问题相同。它可以正常工作，但不如在浏览器应用程序中实现所有内容那么优雅。根据您的 SPA 的当前和 future API 需求，这可能是一个好主意，也可能不是。
CORS 支持是关键
在 DocuSign 支持 CORS 之前，您需要在后端构建一些东西。 CORS 网关(仅涉及配置，不涉及软件)或私有(private) API 网关。
请询问您的 DocuSign 销售或技术联系人，将您的信息添加到内部 DocuSign 提案以获得 CORS 支持，PORTFOLIO-1100。这将有助于提高 CORS 支持的优先级。谢谢。
具体答案
关于:

I think I would need to put my integrator key into the SPA. This would then be visible to anyone using the app. From reading through docs, I'm unclear if it is OK to "leak" this key?

回答:当且仅当 IK 设置为隐式授权使用时，可以将集成 key (IK) 添加到浏览器应用程序(选中 IK 属性表上的“移动应用程序”复选框)。

Having read through that and also the REST API documentation, I'm still unclear if it is even possible to implement something like this without any support from my own backend service.

答:此时您要么需要实现私有(private) CORS 网关，要么需要实现后端软件。