网站场景下UPS API凭证预存储验证方案需求

我之前做过好几次UPS API的集成，验证用户输入的密钥、用户名和密码这块，有几个很靠谱的方法，分享给你：

1. 调用UPS沙箱环境的轻量API端点验证 #

这是最直接有效的方式——因为你的系统最终要调用TimeInTransit和Tracking API，那不如直接用这两个API的沙箱测试接口来验证凭证。UPS提供了专门的沙箱环境（CIE环境），可以用官方的测试数据发起请求，不会影响生产数据。

具体步骤：

• 构造一个最小化的合法请求，比如用UPS官方提供的测试运单号码调用Tracking API，或者构造一个简单的TimeInTransit查询请求（比如从洛杉矶到纽约的虚拟地址）。
• 在请求中带上用户输入的Access License Number（密钥）、用户名和密码（UPS旧版API通常是把用户名密码放在HTTP Basic Auth里，密钥作为请求参数或Header）。
• 根据响应判断凭证有效性：
  • 如果请求返回200状态码，且响应内容没有权限相关的错误，说明凭证有效。
  • 如果返回401/403，或者响应里包含10001（无效密钥）、25000（无效用户名/密码）这类错误码，直接判定凭证无效。
  • 注意区分网络错误（比如超时、连接失败）和凭证错误，不要把网络问题误判为凭证无效。

举个Python的简单示例（用Tracking API沙箱接口）：

import requests

def check_ups_credentials(access_key, username, password):
    # UPS沙箱Tracking API地址
    sandbox_url = "https://wwwcie.ups.com/rest/Track"
    headers = {"Content-Type": "application/json"}
    # 用UPS官方提供的测试运单号
    test_payload = {
        "TrackRequest": {
            "Request": {"RequestAction": "Track", "RequestOption": "activity"},
            "TrackingNumber": "1Z999AA10123456784"
        }
    }
    # 身份验证：用户名密码用Basic Auth，密钥作为URL参数
    auth = (username, password)
    params = {"AccessLicenseNumber": access_key}

    try:
        resp = requests.post(sandbox_url, json=test_payload, auth=auth, params=params)
        resp.raise_for_status()
        resp_data = resp.json()
        
        # 检查是否有API返回的错误
        if "Fault" in resp_data:
            error_code = resp_data["Fault"]["detail"]["Errors"]["ErrorDetail"]["PrimaryErrorCode"]["Code"]
            if error_code in ["10001", "25000"]:
                return False, "凭证无效：密钥、用户名或密码错误"
            return False, f"UPS API错误：{error_code}"
        return True, "凭证验证通过"
    except requests.exceptions.HTTPError as e:
        if resp.status_code == 401:
            return False, "身份验证失败：用户名或密码错误"
        elif resp.status_code == 403:
            return False, "访问被拒绝：密钥无效或权限不足"
        return False, f"HTTP错误：{str(e)}"
    except Exception as e:
        return False, f"网络异常：{str(e)}"

2. 分别验证目标API的权限 #

如果你的用户可能只需要使用其中一个API（比如有的用户只用Tracking，有的只用TimeInTransit），建议针对用户要启用的API分别验证。比如：

• 若用户需要Tracking权限，就调用Tracking的测试接口；
• 若需要TimeInTransit权限，就构造TimeInTransit的测试请求（比如用两个测试地址查询 transit time）。

这样能确保用户的凭证不仅有效，还拥有对应API的调用权限，避免后续业务流程中出现权限不足的问题。

验证后的注意事项 #

• 不要频繁验证：用户输入凭证时验证一次即可，不要每次调用业务API前都重复验证，否则会增加UPS API的请求量，影响性能。
• 加密存储凭证：验证通过后，一定要加密存储这些敏感信息（比如用AES对称加密，或者借助密钥管理服务），绝对不能明文存储。
• 处理过期/失效情况：后续业务调用API时，如果返回凭证相关的错误，要提示用户重新输入并验证。

内容的提问来源于stack exchange，提问作者Fellner Arthur