LightSpeed Retail API临时令牌获取求助：WordPress插件开发受阻

我之前开发集成LightSpeed的工具时也踩过这个OAuth流程的坑，你现在卡壳的核心是漏掉了授权码（也就是你说的Temporary Token）的获取环节——这是OAuth 2.0授权码模式里的必经步骤，文档里的流程其实环环相扣，咱们一步步补全：

第一步：构造授权请求URL，引导用户授权 #

你需要先让插件的管理员（或拥有LightSpeed账号的用户）访问LightSpeed的授权页面，登录并同意给你的插件授权。这个URL的参数必须严格对应你在LightSpeed开发者后台注册的信息：

// 替换成你的实际参数
$client_id = '你的Client ID';
$redirect_uri = '你的回调地址（必须和开发者后台注册的完全一致）';
$scope = 'products:read'; // 根据需求调整权限，比如需要写权限就加products:write
$state = wp_create_nonce('lightspeed_auth'); // 生成CSRF令牌，防止恶意请求

// 构造授权URL
$auth_url = add_query_arg([
    'client_id' => $client_id,
    'redirect_uri' => $redirect_uri,
    'response_type' => 'code',
    'scope' => $scope,
    'state' => $state,
], 'https://cloud.lightspeedapp.com/oauth/authorize.php');

你可以在WordPress插件的设置页面添加一个按钮，让用户点击跳转到这个授权URL：

echo '<a href="' . esc_url($auth_url) . '" class="button button-primary">连接LightSpeed账号</a>';

第二步：处理回调，获取临时授权码（Temporary Token） #

当用户在LightSpeed授权页面点击同意后，系统会自动跳转到你设置的redirect_uri，并在URL参数里带上code（这就是你要的临时令牌）和之前的state参数。

在你的回调页面（比如插件的某个设置页），先验证state的合法性，再提取code：

if (isset($_GET['code']) && isset($_GET['state'])) {
    // 验证CSRF令牌
    if (!wp_verify_nonce($_GET['state'], 'lightspeed_auth')) {
        wp_die('授权请求验证失败，请重试');
    }

    // 拿到临时授权码
    $temporary_token = sanitize_text_field($_GET['code']);

    // 接下来就可以用这个code去交换正式的Access Token了
}

第三步：用临时授权码交换Access Token #

这一步就是你现有代码里准备做的，现在有了$temporary_token，就能正常调用了。补充完整你的代码：

$tokenURL = 'https://cloud.lightspeedapp.com/oauth/access_token.php';
$client_secret = '你的Client Secret';

$response = wp_remote_post($tokenURL, [
    'body' => [
        'client_id' => $client_id,
        'client_secret' => $client_secret,
        'code' => $temporary_token,
        'grant_type' => 'authorization_code',
        'redirect_uri' => $redirect_uri, // 必须和之前的一致
    ],
]);

if (!is_wp_error($response)) {
    $token_data = json_decode(wp_remote_retrieve_body($response), true);
    // 这里就能拿到access_token、refresh_token等信息了
    // 建议把这些信息存在WordPress的选项里，比如update_option('lightspeed_access_token', $token_data['access_token']);
} else {
    // 处理请求错误
    error_log('LightSpeed Token请求失败：' . $response->get_error_message());
}

关键注意事项 #

• 回调地址必须完全匹配：你在LightSpeed开发者后台填写的Redirect URI要和代码里的$redirect_uri一模一样，包括HTTP/HTTPS、域名、路径，不能多斜杠也不能少。
• 权限范围（scope）要精准：只申请你需要的权限，比如只获取产品信息就用products:read，不要申请不必要的权限，既安全又容易通过授权。
• 保存Refresh Token：LightSpeed的Access Token有效期有限，拿到Refresh Token后要妥善保存，后续可以用它刷新Access Token，不用让用户重复授权。

内容的提问来源于stack exchange，提问作者Gabriel Castle