API 参考

本参考仅描述真实的、可公开使用的 JSON 端点——包括每个端点的方法、路径、身份验证类型、必填参数、请求和响应示例以及已文档化的错误代码。Zentor 不存在通用的开发者 API 密钥系统；根据路由的不同，访问要么无需身份验证，要么通过带有来源（Origin）检查的组件嵌入令牌进行。内部仪表盘路由和 Master-Admin 端点有意不包含在此公共参考中，因为它们只能通过常规登录会话访问。

每个端点条目都带有一条实时测试说明，公开该信息是来自注册表（Registry）模式、自动化测试还是实际的实时观察——仅与某个可正常工作的代码路径相似，并不视为完整的证明。此外，技术上成功的调用始终只确认相应请求本身的处理，并不自动确认后续流程，例如电子邮件投递、付款完成或已完成的 SSO 登录。

安全措施取决于各自的分组。公开的法律、营销和表单端点不需要仪表盘会话。而聊天组件则使用请求头 `X-Widget-Token` 和来源许可列表（Origin-Allowlist）。仪表盘登录会提供有效期为十二小时的会话 JWT 和有效期为七天的刷新令牌。SSO 端点使用各自的一次性代码和回调流程。

请将每个端点页面视为一份独立的契约。关键在于 HTTP 方法、路径、必填参数、数据类型、请求体、响应结构、错误代码和幂等性。示例展示的是一种可能的格式，但不能替代对实际响应的检查。配置状态、验证、权限和外部提供商都可能改变结果。

已确认的全平台速率限制为 15 分钟内 2,000 次请求。各端点的单独限制并未全部文档化。因此，客户端不应使用不必要的高频轮询循环。对于非幂等操作，自动重试可能会产生重复的数据记录或消息。

敏感值不应出现在日志中。这包括密码、重置令牌、验证码、组件令牌、会话 ID 以及真实的个人示例数据。请在文档和测试中使用匿名化的值。实时测试说明必须如实反映实际的证明。