多用户使用DocuSign API：是否需单独配置集成密钥与私钥？

完全不需要每个用户都单独配置Integrator Key（IK）和私钥！你的应用只需要配置一套IK和对应的密钥（私钥或客户端密钥），就能支持所有用户用各自的DocuSign账户完成操作。

这是DocuSign官方推荐的多用户交互式场景解决方案，完美适配你希望“仅配置一次密钥”的需求，同时保证每个用户的账户独立性和安全性。

1. 预先配置你的IK：
   在DocuSign开发者平台中，给你的IK设置OAuth相关参数：指定授权回调URL（用户完成授权后跳回你应用的地址），选择合适的权限范围（scopes），比如signature（基础签名操作）、extended（扩展功能）等，根据你的应用需求选择。

2. 用户首次授权流程：
   当应用中的用户第一次需要使用DocuSign功能时，引导他们跳转到DocuSign的官方授权页面。用户用自己的DocuSign账户登录后，会看到你的应用请求访问其账户权限的提示，确认授权后，DocuSign会将用户重定向到你预先设置的回调URL，并附带一个授权码。

3. 获取访问令牌：
   你的应用后端用收到的授权码，加上你的IK、私钥（或客户端密钥），向DocuSign的令牌端点发送请求，交换得到访问令牌（access token）和刷新令牌（refresh token）。

4. 代表用户调用API：
   用获取到的访问令牌，在API请求的Authorization头中携带Bearer {access_token}，就可以代表该用户执行身份认证、创建信封、发送信封等操作。当访问令牌过期时，直接用刷新令牌自动获取新的访问令牌，无需用户再次授权。

• 扩展性拉满：不用让每个用户去DocuSign开发者平台注册IK、生成私钥——这对普通用户来说门槛极高，也会让你的应用维护成本爆炸。一套配置搞定所有用户，后续新增用户完全无需额外操作。
• 安全性更高：用户不需要把自己的私钥交给你的应用，授权流程完全在DocuSign官方页面完成，用户还能随时在自己的DocuSign账户中撤销对你应用的授权，权限管控更灵活。
• 统一管理：所有用户的授权行为都通过你的IK来管理，你可以在DocuSign开发者平台监控应用的API调用情况，调整权限范围，方便后续迭代和维护。

• 权限范围要精准：不要请求超出应用需求的权限，既符合安全最佳实践，也能降低用户的授权顾虑。
• 妥善存储令牌：刷新令牌相当于用户的长期权限凭证，一定要加密后存储在安全的后端数据库中，绝对不能暴露给前端或客户端。
• 企业场景备选：如果你的用户是企业内部员工，且希望实现无交互的自动授权，可以考虑JWT授权流程，但需要企业管理员预先为整个组织同意应用的权限，适合自动化批量操作场景；而授权码流程更适合普通用户的交互式操作场景。

内容的提问来源于stack exchange，提问作者dahln