DocuSign 收件人签名 url 过期

Question

我需要将 DocuSign 添加到我的聊天应用程序（iOS、Android、Windows）中，以便要求为所有聊天组成员签署文件。

我想在没有服务器实现的情况下实现 DocuSign 签名流程：只有 Sender 和 Recipients 客户端实现（可能吗？）。

我想象的流程：

• 经过身份验证的发件人使用Envelopes: create REST 调用。
• 其他成员必须签署文件（不需要 DocuSign 帐户）...
• ...所以我需要使用 REST 调用EnvelopeViews: createRecipient （谁调用此端点？）为每个成员生成一个“收件人 url”

我用 Postman 测试了这个流程，我有一些问题：

1. EnvelopeViews: createRecipient需要 X-DocuSign-Authentication header，所以这个请求必须从 Sender 端调用，是吗？
2. EnvelopeViews: createRecipient返回一个可以使用一次的 url，为什么？ 我第二次使用这个 url 我得到 404 作为响应。

所以我注意到收件人不能使用 url（由发件人提供）两次，但他不能每次都生成一个新的 url，因为它没有经过身份验证（没有 X-DocuSign-Authentication）。

如何正确实施此流程？

Answer 1

很多好问题：

EnvelopeViews：createRecipient 需要 X-DocuSign-Authentication header，所以这个请求必须从 Sender 端调用，是吗？

1. 不要使用X-DocuSign-Authentication header。 这是“旧版身份验证”，DocuSign 不支持新的 REST 电子签名应用程序。 而是使用 OAuth。 可能是 OAuth JWT 授权流程，因为该流程使您的应用程序能够在用户不存在时模拟DocuSign 用户（例如发件人）。

2. 您可以从服务器或浏览器应用程序调用 EnvelopeViews: createRecipient。 如果您从浏览器调用，则需要实现私有 CORS 网关。

3. 无论哪种方式，当签名者准备好签名时，您会从 EnvelopeViews: createRecipient API 调用中获取签名仪式 URL，然后将签名者的浏览器重定向到 ZE6B391A8D2C4D45702A23。

EnvelopeViews：createRecipient 返回一个可以使用一次的 url，为什么？

出于安全原因。 这是我们信息安全架构的一部分。 而且签约仪式URL不仅只能使用一次，而且是有时间限制的。 它应该在您从 DocuSign 收到它后的一两分钟内使用。 它将在创建后 5 分钟过期。

我第二次使用这个 url 我得到 404 作为响应。

是的，这就是设计的。 您得到 URL，然后立即将签名者重定向到 URL。 然后他们签字。 然后它们被重定向回您的应用程序。

如果您想向签名者提供 URL 以供签名者稍后使用，您可以自己实现该流程。 我已经在其他答案中描述了如何。

所以我注意到收件人不能使用 url（由发件人提供）两次，但他不能每次都生成一个新的 url，因为它没有经过身份验证（没有 X-DocuSign-Authentication）。

如何正确实施此流程？

您快到了。 在您的应用程序中实施 JWT 授权流程。 这样，即使发件人不在，您的应用也可以模拟发件人。 当签名者要签名时，您的应用会从 DocuSign 获取签名仪式 URL，然后重定向以启用签名。

另一种也可以正常工作的方法是让发件人使用标准 OAuth 授权代码授权登录到 DocuSign。 这会为您的应用提供访问令牌和刷新令牌。

您的应用程序使发件人能够使用访问令牌发送信封。

稍后，当签名者想要签名时，您的应用程序会使用它存储的刷新令牌来生成新的访问令牌。 使用带有 EnvelopeViews 的访问令牌：createRecipient API 方法获得签字仪式 URL。

Answer 2

1. X-DocuSign-Authentication header 是旧式身份验证，请不要使用它，因为它不如现代 OAauth 安全。
2. 再次，安全。 每次您希望有人签署您的代码时，都应生成 URL。 另外，请注意您不能生成两个 URL。 一次只有一个有效。 您需要您的应用程序具有一些逻辑，以确保只有一个用户在签名，并且仅在该时间点生成 URL。