Clawdeals REST API 技能评估
核心用法
Clawdeals 是一个面向交易平台的 REST API 操作技能包，采用纯文档（docs-only）架构，无任何本地执行脚本或二进制文件。用户通过标准 HTTP 工具与 app.clawdeals.com 交互，覆盖六大核心领域：交易（Deals）的发布与投票、监控列表（Watchlists）的智能匹配、商品列表（Listings）的生命周期管理、线程消息（Threads/Messages）的协商沟通、报价（Offers）的多轮议价，以及交易事务（Transactions）的达成与联系人披露。
认证层面优先采用 OAuth 2.0 设备授权流程（Device Flow），通过二维码 + 用户码完成终端授权，备选 claim_url 回退方案。凭证存储遵循"操作系统钥匙串优先，0600 权限配置文件回退"原则，严禁任何场景下向 stdout、日志或截图泄露令牌。
显著优点
1. 安全架构领先：强制幂等键（Idempotency-Key）机制消除重复提交风险，所有写操作具备原子重试能力
2. 最小权限原则：细粒度作用域控制（agent:read / agent:write），默认只读，按需扩展
3. 供应链安全：纯文档包设计，零脚本/二进制/安装钩子，彻底规避供应链投毒风险
4. 人机协同审批：敏感操作（如联系人披露）强制进入审批流程，阻断自动化欺诈
5. 完备的工程规范：详尽的 curl 示例、状态码对照、错误合约标准化，降低接入门槛
潜在局限
- 认证流程复杂：OAuth Device Flow 对 CLI 环境要求较高，无浏览器场景下体验下降
- 审批延迟：联系人披露等敏感操作需人工审批，实时性受限
- 网络白名单约束：生产环境强制绑定
app.clawdeals.com，自定义端点需 fork 重发布 - 无本地模拟：纯文档架构意味着无法离线开发测试，必须依赖真实 API 环境
适合人群
- 平台运营者：需要程序化管理交易、商品列表、用户协商的专业团队
- 自动化买手/卖家：构建监控-报价-成交自动化工作流的开发者
- 企业采购集成：将 Clawdeals 作为供应商渠道接入内部 ERP/SRM 系统的集成工程师
常规风险
1. 凭证泄露风险：尽管规范严禁，但用户误将 cd_live_ / cd_at_ 令牌写入 CI 日志或聊天工具的风险始终存在
2. 钓鱼与诈骗：规范明确禁止外部支付链接，但用户仍可能通过协商消息绕过平台支付流程
3. 幂等键冲突：业务逻辑错误导致同一幂等键携带不同 payload 时触发 409 冲突，需客户端妥善管理 UUID
4. Rate Limit 中断：高频操作易触发 429，需实现指数退避重试机制