Zoom 应用类型选型指南General App、Server-to-Server OAuth 与 Webhook Only 实战解析【免费下载链接】knowledge-work-pluginsOpen source repository of plugins primarily intended for knowledge workers to use in Claude Cowork项目地址: https://gitcode.com/GitHub_Trending/kn/knowledge-work-plugins本篇指南围绕 Zoom App Marketplace 提供的三种应用类型General App、Server-to-Server OAuth、Webhook Only展开系统讲解它们的能力边界、OAuth 授权模型、Scope 权限体系与决策路径帮助开发者在构建 Zoom 集成时快速完成应用类型选型与配置落地。读者将掌握每种应用类型的适用场景、核心配置项OAuth 类型、Surfaces、Embeds、Access、Scopes以及何时用哪种类型的决策方法并能在 Zoom Marketplace 中完成从创建应用到获取凭据的完整流程。Zoom 应用类型总览三种类型三种定位在 Zoom App Marketplace 中官方提供 3 种应用类型分别对应三类截然不同的集成需求。核心区别在于是否需要用户授权、是否需要调用 API、以及是否需要接收事件通知。App 类型适用场景General App最灵活可配置 Surfaces、Embeds、OAuth、WebhooksServer-to-Server OAuth后端自动化无需用户授权Webhook Only仅接收事件无 API 访问能力从选型角度看三者并非并列关系而是由需求倒推的选择General App 是模块化组合型几乎可以覆盖所有能力Server-to-Server OAuth 专门服务于无用户交互的后端自动化Webhook Only 则是只收事件、不做别的事的最简形态。在 partner-built/zoom-plugin/skills/general/references/app-types.md 中官方给出了完整的对照关系本文在此基础上结合仓库内的认证与权限资料展开详解。General App模块化组合的应用类型General App 被官方称为模块化应用类型The modular app type其设计理念是按需选取——你只需要勾选当前集成真正需要的 OAuth 类型、Surfaces、Embeds 与 Access 方式其余保持关闭即可。这一特性使它成为绝大多数 Zoom 集成项目的默认起点。OAuth 类型二选一决定授权粒度General App 在创建时必须选择 OAuth 类型它直接决定了应用能够触达的数据范围OAuth 类型Scopes授权范围Admin管理级 Scope*:admin整个账号 OR 指定用户User用户级 Scope仅授权用户本人自助服务User OAuth适合每个用户自己管理自己的数据的场景例如个人会议助手其 Scope 形如meeting:read无后缀只访问当前授权用户的数据Admin OAuth适合管理员仪表盘、全账号管理类应用其 Scope 形如meeting:read:admin可访问账号下所有用户的数据但要求授权人具备管理员角色权限。从 partner-built/zoom-plugin/skills/general/references/scopes.md 可以进一步印证两者的权限模型差异OAuth 类型Scope 后缀访问级别示例User OAuth无仅当前用户数据meeting:readAdmin OAuth:admin账号内所有用户meeting:read:adminServer-to-Server (S2S):admin账号内所有用户无需用户同意meeting:read:adminSurfaces可交互的 Zoom 产品上下文Surfaces 定义了你的应用可以与之交互的 Zoom 产品域。General App 允许按需开启以下产品上下文Meetings会议Webinars网络研讨会Rooms会议室Phone电话Team Chat团队聊天Contact Center联络中心Whiteboard白板Virtual Agent虚拟坐席Events活动Mail邮件Workflows工作流每个 Surface 都对应一批独立的 API 与事件体系。例如开启 Team Chat Surface 后应用即可调用team_chat系列的聊天/频道 API 与事件订阅开启 Whiteboard 后则可使用whiteboard系列的白板创建、协作与导出能力。仓库中 partner-built/zoom-plugin/skills/general/SKILL.md 的Choose Your Path章节按产品域给出了对应的专项技能入口如zoom-team-chat、zoom-rest-api、contact-center等可作为进一步深入每个 Surface 的路由参考。Embeds通过 SDK 嵌入 Zoom 能力如果你需要在自研应用中直接内嵌Zoom 的会议/通话体验而不是通过链接跳转则需要启用 EmbedsSDK能力Embed说明Meeting SDK在应用内嵌入 Zoom 会议Contact Center SDK嵌入联络中心能力Phone SDK嵌入 Zoom Phone 通话功能需要注意Meeting SDK 与 Video SDK 等客户端 SDK 的鉴权走的是SDK JWT 签名机制而非 OAuth其签名实践在 partner-built/zoom-plugin/skills/general/references/authentication.md 中有明确约定实践建议Expiryexp生成后约 10 秒过期Issued Atiat设为 2 小时前若要求exp - iat 2 hours服务端生成绝不在客户端代码中暴露密钥此外SDK 客户端鉴权通常配合 OAuth 使用文档明确指出 Meeting SDK 客户端场景应使用 PKCE 增强授权码流程详见下文认证小节。Access事件与实时连接的接入方式在 General App 的Access标签页中可以配置应用接收事件通知的三种方式Secret Token—— 用于验证 webhook 通知的签名。在 partner-built/zoom-plugin/skills/general/references/environment-variables.md 中对应环境变量为ZOOM_WEBHOOK_SECRET/WEBHOOK_SECRET_TOKEN配置位置为 Marketplace 应用的 Event Subscriptions - Secret TokenEvent Subscription—— 订阅 webhook 事件HTTP POST 推送适合大多数收到事件即处理的场景WebSockets—— 建立持久化 WebSocket 实时事件连接延迟更低、无需暴露公网回调端点适合对实时性与安全性敏感的场景。Scopes声明应用可调用的 API 方法Scopes 定义了应用可以调用哪些 API 方法其核心特征有两点限定到具体资源Scope 严格绑定资源域如meeting、user、recording、webinar、report等提交审核时由 Zoom 审查应用提交 Marketplace 审核时所申请的 Scopes 会被逐一审查因此应遵循最小权限原则。常见的 Scope 命名遵循resource:action[:level]模式。以下为 partner-built/zoom-plugin/skills/general/references/scopes.md 中给出的高频资源对照MeetingsUser ScopeAdmin Scope说明meeting:readmeeting:read:admin查看会议详情meeting:writemeeting:write:admin创建、更新、删除会议meeting:mastermeeting:master:admin会议完整访问权限UsersUser ScopeAdmin Scope说明user:readuser:read:admin查看用户资料user:writeuser:write:admin更新用户设置user:masteruser:master:admin用户完整访问权限RecordingsUser ScopeAdmin Scope说明recording:readrecording:read:admin查看/下载录制内容recording:writerecording:write:admin删除录制内容recording:masterrecording:master:admin录制完整访问权限Webinars / Reports同样遵循read/write/master与:admin后缀的组合模式webinar:read:admin、report:read:admin等。Scope 模式速查模式含义resource:read只读访问当前用户resource:write读写访问当前用户resource:master完整访问含删除当前用户resource:read:admin只读访问账号内所有用户resource:write:admin读写访问账号内所有用户resource:master:admin完整访问含删除账号内所有用户Scope 最佳实践① 只申请最小必要 Scope② 向用户解释每个 Scope 的用途③ 对用户拒绝授权的场景做优雅降级处理。FeaturesGeneral App 的扩展能力除上述能力外General App 还可以包含Zoom Apps——运行在 Zoom 客户端内部的应用程序in-client apps。这类应用适合会议内工具、沉浸式体验、协作类应用等需要在会议上下文中直接运行的场景。如需构建运行在 Zoom 客户端内部的 App应选择 General App Zoom Apps 的组合。Server-to-Server OAuth无用户交互的后端自动化Server-to-Server OAuthS2S专门用于后端自动化场景定时任务、报表生成、账号数据同步、系统集成等全程无需用户登录或授权。无需用户交互直接访问你账号的数据可以包含 webhooks 与 zoom-websockets最佳适用场景自动化、报表、系统集成在认证层面S2S 走的是account_credentials授权类型即 OAuth 标准中的 Client Credentials Grant / 两足 OAuth / M2M。从 partner-built/zoom-plugin/skills/oauth/SKILL.md 可以看到完整的取令牌流程POST https://zoom.us/oauth/token?grant_typeaccount_credentialsaccount_id{ACCOUNT_ID} Headers: Authorization: Basic {Base64(ClientID:ClientSecret)}响应示例{ access_token: eyJ..., token_type: bearer, expires_in: 3600, scope: user:read:user:admin, api_url: https://api.zoom.us }S2S 的关键运行特性访问令牌 1 小时过期没有独立的刷新流程直接重新请求一个新令牌即可Scope 使用 admin 级别如meeting:write:admin但不需要用户登录或同意——这是它与 General App Admin OAuth 的最大区别后者仍需要具备管理员角色的用户执行授权动作所需凭据为Client ID、Client Secret 与 Account ID。在 partner-built/zoom-plugin/skills/general/references/environment-variables.md 中S2S 对应.env键为ZOOM_CLIENT_ID、ZOOM_CLIENT_SECRET、ZOOM_ACCOUNT_ID均在 Marketplace 的 Server-to-Server OAuth 应用凭据页获取。Webhook Only纯事件通知的最简形态Webhook Only 应用只做一件事接收事件通知。只接收事件不发起任何 API 调用无需 OAuth 令牌最佳适用场景事件日志记录、触发外部工作流选型要点非常明确当你只需要事件events时才选择它如果还需要调用 API则应该把 webhooks 附加到 General App 或 S2S 应用上而不是单独创建一个 Webhook Only 应用。决策指南按需求选择正确的应用类型将上述三种类型的边界落到具体需求形成如下决策表需求应用类型为你的账号调用 API后端Server-to-Server OAuth代表用户调用 APIGeneral AppAdmin 或 User OAuth内嵌 Zoom 会议General App Meeting SDK embed内嵌联络中心General App Contact Center SDK embed内嵌 Phone 通话General App Phone SDK embed构建客户端内运行的应用General App Zoom Apps仅接收事件Webhook Only接收事件 调用 APIGeneral App 或 S2S附加 webhooks对照仓库中 partner-built/zoom-plugin/skills/general/SKILL.md 的SDK vs REST Routing Matrix可以进一步收敛实现路径用户意图正确路径不要路由到在应用 UI 内嵌 Zoom 会议zoom-meeting-sdk仅用 RESTjoin_url流程为真实 Zoom 会议构建自定义 Web UIzoom-meeting-sdk-web-component-viewzoom-video-sdk构建自定义视频 UI/会话应用zoom-video-sdkMeeting SDK 或 REST 会议链接获取浏览器加入链接 / 管理会议资源zoom-rest-apiMeeting SDK 加入实现实战落地从 Marketplace 创建应用到获取凭据选型完成后实际创建与配置流程如下对应 partner-built/zoom-plugin/skills/general/references/marketplace.md访问 Zoom App Marketplace 并登录点击Develop→Build App选择应用类型即上文三种类型之一配置应用设置将凭据复制到你的应用中。Marketplace 开发者门户的关键分区Develop区域Build App新建应用、Manage编辑已有应用、Logs查看 API 与 webhook 日志应用配置App CredentialsSDK Key/Secret、Client ID/Secret、Scopes配置 OAuth 权限、Feature启用 Meeting SDK、Video SDK、Webhooks、Activation使应用可被安装。凭据说明应用类型凭据说明OAuth 应用Client ID公开标识符OAuth 应用Client Secret保密仅存于服务端SDK 应用SDK Key用于 JWT 载荷SDK 应用SDK Secret用于签名 JWT须保密SDK 下载注意事项Meeting SDK 与 Video SDK 必须在登录 Marketplace 后从应用的Download区按平台iOS、Android、Windows、macOS、Linux下载官方不通过公共包管理器分发Web SDK 可通过 npm 获取。认证方式速查不同应用类型对应不同的认证方式partner-built/zoom-plugin/skills/general/references/authentication.md 给出总览认证方式适用场景OAuth 2.0代表用户访问用户授权Server-to-Server OAuth服务端自动化无用户交互SDK JWTMeeting SDK 与 Video SDK 鉴权在 partner-built/zoom-plugin/skills/oauth/SKILL.md 中四种授权用例与 App Type / Grant Type 的映射关系如下用例App TypeGrant Type行业称谓账号授权Server-to-Serveraccount_credentialsClient Credentials Grant、M2M、两足 OAuth用户授权Generalauthorization_codeAuthorization Code Grant、三足 OAuth设备授权Generalurn:ietf:params:oauth:grant-type:device_codeDevice Authorization Grant (RFC 8628)客户端授权Generalclient_credentialsClient Credentials Grant聊天机器人场景深入阅读与仓库索引本文所述内容均来自本仓库partner-built/zoom-plugin下的知识技能文档可按需深入应用类型原始文档 —— 三种 App Type 的官方对照与决策表认证方式详解 —— OAuth 2.0、S2S OAuth、SDK JWT 三种认证与最佳实践Scope 参考 —— 常用资源 Scope 对照与选型建议Marketplace 门户指南 —— 应用创建、配置、SDK 下载与发布流程跨产品环境变量 ——ZOOM_CLIENT_ID、ZOOM_ACCOUNT_ID等.env键与获取位置Zoom OAuth 技能总览 —— 四种授权流程、令牌生命周期、常见错误码4700–4741Zoom General 跨产品技能 —— 按产品域的路由矩阵与用例索引实际使用中建议遵循官方文档中的通用前提需要 Zoom 账号Pro、Business 或 Enterprise、在 Marketplace 中创建应用并获取 OAuth 凭据Client ID 与 Client SecretS2S 场景还需额外准备 Account ID。本文档仓库为只读参考资料仅用于查看、配置与运行指引。【免费下载链接】knowledge-work-pluginsOpen source repository of plugins primarily intended for knowledge workers to use in Claude Cowork项目地址: https://gitcode.com/GitHub_Trending/kn/knowledge-work-plugins创作声明：本文部分内容由AI辅助生成（AIGC），仅供参考