给的是有限授权，不是把密码交出去
小林分别在甲、乙银行有账户。他使用一个合规记账服务，明确授权读取指定账户、指定期间的收支数据，服务便可通过约定接口整理账单，而不必让他逐笔抄录。
如果授权仅限读取交易记录，就不等于允许这个服务替他转账。数据访问和发起支付属于不同权限，能做什么应受授权范围与制度约束。
权限跟着授权走
- 01客户指定范围
哪些账户、哪些信息、允许什么用途
- 02银行核验接口请求
识别服务方，检查权限
- 03第三方提供服务
按获准范围汇总或处理数据
读取账单不自动包含支付权限。
API像约定好的办事窗口
银行规定请求格式、身份验证、可用数据及操作范围，第三方按接口来取数据或调用服务。这种接口常叫API，作用类似“按规则受理某类请求的窗口”，并不是把内部数据库直接交给外人。
不同地区的开放银行制度覆盖范围不同。客户同意也不能让任何用途都合法；超范围使用、授权撤回、数据保护与第三方责任，仍要有对应的管理。