Bắt đầu

Tích hợp với Cake ACS là một quá trình trao đổi ngắn các thông tin kết nối, theo sau bởi hai luồng kiểm thử đầu-cuối. Trang này mô tả những gì bạn cần thống nhất trước khi viết code.

Những gì bạn cung cấp cho Cake

Mục	Lý do
Base URL của dịch vụ xác thực của bạn	Nơi ACS gửi /step_up, /initiate_action, và /validate
Dải số thẻ (card range) cần xác thực	ACS chỉ trả lời cho các thẻ mà nó được cấu hình để phục vụ
Các phương thức challenge được hỗ trợ	Nền tảng của bạn có thể gửi OTP, phê duyệt out-of-band, hay cả hai
Dải IP nguồn	Để traffic gửi đến của bạn được cho phép đi qua

Những gì Cake cung cấp cho bạn

Mục	Lý do
ProcessorId và IssuerId	Được gửi trên mọi request; hãy echo lại nguyên vẹn
URL của OOB callback	Nơi đẩy kết quả out-of-band. Cũng được gửi trên mỗi /initiate_action dưới dạng OOBCallbackUrl
Khóa HMAC dùng chung	Một chuỗi hex dùng để ký (sign) body callback của bạn — xem Bảo mật

WARNING

Khóa HMAC dùng chung là một credential nhạy cảm. Trao đổi nó qua một kênh an toàn, lưu trữ nó như cách bạn lưu các secret production khác, và xoay vòng (rotate) theo cùng lịch trình. Không bao giờ commit nó hoặc gửi qua email.

Triển khai ba endpoint

Dịch vụ của bạn phải chấp nhận POST với Content-Type: application/json trên ba đường dẫn, tương đối so với base URL bạn đã cung cấp:

POST {your_base_url}/step_up
POST {your_base_url}/initiate_action
POST {your_base_url}/validate

Mỗi request đều mang theo ProcessorId, IssuerId, TransactionId, và StepupRequestId. Hãy echo lại cả bốn giá trị này trong response — ACS dùng chúng để khớp response với phiên xác thực đang diễn ra.

Xem Endpoint bạn triển khai để biết đầy đủ hợp đồng.

Quyết định cách chủ thẻ được challenge

Response của /step_up quyết định toàn bộ phần còn lại. Trả về StepupType: "OTP" và ACS sẽ hiển thị form nhập mã; trả về StepupType: "OUTOFBAND" và nó sẽ hiển thị trang chờ trong khi app của bạn thu thập sự phê duyệt.

Với OTP, ACS tự sinh mã và tự kiểm tra mã đó — nền tảng của bạn chỉ có nhiệm vụ gửi mã đi. Điều này rất quan trọng: hãy gửi đúng giá trị VerificationToken bạn nhận được, không thay đổi, nếu không chủ thẻ sẽ nhập một mã mà ACS không thể khớp.

Checklist trước khi go-live

• [ ] Đã trao đổi Base URL, dải số thẻ, và dải IP nguồn
• [ ] Đã nhận và lưu trữ ProcessorId, IssuerId, và khóa HMAC dùng chung
• [ ] Cả ba endpoint có thể truy cập được từ ACS và trả về response hợp lệ
• [ ] Callback được ký đúng — một request kiểm thử đã ký trả về 200
• [ ] Một luồng OTP hoàn tất đầu-cuối trong môi trường test
• [ ] Một luồng out-of-band hoàn tất đầu-cuối trong môi trường test