提示：WPS Comate Lua脚本鉴权仅开放给管理员操作，是平台的安全合规设计。
什么是WPS Comate Lua脚本鉴权？
Lua脚本鉴权是 APIHub 连接开发平台提供的一种自定义鉴权能力。当业务系统的认证算法是 APIHub 内置凭据类型（自定义请求头、Bearer Token、AK/SK、OAuth）覆盖不了的时候，管理员可以编写 Lua 脚本在网关层实现签名计算、请求改写等逻辑，让 AI 助手能调用这些特殊认证机制的业务系统。
什么情况下需要用 Lua脚本鉴权？
当业务系统的认证算法是标准方式覆盖不了的，且转换逻辑明确、计算量小时，就需要 Lua 脚本。典型例子是考勤系统的 MD5 动态签名：sign = md5(时间戳 + appId + 请求体 + appKey)，这类自定义算法 APIHub 内置签名覆盖不了，需要用 Lua 脚本在网关层实现。
通常需要脚本的鉴权场景包括：
- MD5 / HMAC 等自定义签名算法
- 请求头需要动态注入计算字段的接口
- 请求体需要格式转换的系统
- 内置凭据类型覆盖不了的私有协议
用脚本会不会很危险？
平台有明确的安全设计：脚本能访问请求体和凭证，因此仅管理员可操作，普通用户无权配置。脚本计算签名后会清除原始凭证头（appId/appKey 不传给上游），凭证全程加密托管，还有全链路操作日志审计。这是平台的安全合规设计，也是面向企业的合规卖点。
Lua脚本鉴权和内置凭据类型怎么选？
能用标准凭据类型解决的，优先用标准配置——更稳定、更安全、更易维护。只有当业务系统的认证算法是内置凭据类型覆盖不了的，才用 Lua 脚本。例如 AK/SK 签名（KSO-1）已内置 aksk_sign 凭据类型，无需脚本；而考勤系统的 MD5 签名未内置，才需要脚本。
一个脚本能应用到多个 API 吗？
脚本绑定是逐个 API 进行的，每个需要加工的 API 都要单独绑定，不会自动继承。管理员需要在 API 列表中为每个接口手动绑定对应的鉴权脚本，这样可以精确控制每个接口的加工逻辑。
脚本能解决哪些问题？
脚本运行在 OpenResty 网关之上，覆盖请求的四个阶段：改写（rewrite）、访问控制（access）、响应头处理（header_filter）、响应体处理（body_filter）。可以做签名计算、请求头注入、请求体转换、响应处理等。
脚本做不了什么？
脚本不是万能的。以下情况不建议用脚本：能用标准凭据类型解决的，不要硬上脚本；只是字段名映射、路径前缀固定的，优先用「字段映射模板」「路径改写模板」等预置模板；涉及复杂业务判断的，逻辑应留在业务系统，不要把业务规则塞进网关脚本。
接入一个自定义鉴权系统要多久？
有标准 OpenAPI 文档的系统，10-15 分钟就能完成模板创建、API 录入和测试。如果涉及 Lua 脚本，需要额外编写和验证脚本的时间，但整体仍在小时级内完成。
凭证安全如何保障？
三层保障：凭证加密存储，平台无法查看明文；仅连接器使用者可间接调用；全链路操作日志审计。脚本计算签名后还会清除原始凭证头，避免明文凭证到达目标系统。
脚本修改后要重新发布吗？
需要。修改已绑定的脚本后，必须重新发布才生效。发布前务必在测试环境验证脚本语法和逻辑，避免脚本错误导致 API 调用失败。
使用建议
部署 Lua脚本鉴权时，建议先评估目标系统的鉴权算法是否确为内置凭据类型覆盖不了。能用标准配置解决的，优先用标准方式。确需脚本的场景，先在测试环境验证，再逐步扩展到正式环境，确保接入安全稳定。
常见问题（FAQ）
问：Lua脚本鉴权需要额外付费吗？
Lua脚本鉴权是连接器能力的一部分，包含在 WPS 365 套餐中，不需要额外付费。
问：普通团队成员能配置脚本吗？
不能。脚本的创建、编辑、绑定权限仅开放给管理员，普通用户无权配置。
问：脚本会不会影响 AI 调用的速度？
影响极小。脚本在网关层自动执行，计算量小，用户无感知，不影响正常使用体验。
注：部分内容由 AI 匹配目标关键词，结合WPS 365 官方知识库智能生成，如有疑问或者建议可以联系我们。
