设备证书
设备连上平台前，先要证明「我是谁」。凌点域用产品/设备级凭证做 HTTP 激活，激活后再发设备专属 MQTT 账号长连——认人与长连拆开，密钥才说得清。
「证书」在这里不只指 X.509 文件，而是平台颁发给设备的一组身份凭证：产品密钥、设备密钥、激活后的 MQTT 账号等。通信方式见 了解设备通信方式，接入协议见 了解设备接入协议。
1、两类认证（怎么选）
| 方式 | 平台标识（示意） | 产线烧什么 | 适合 |
|---|---|---|---|
| 一型一密 | one_type_one_key | 同型共享 ProductKey / ProductSecret | 量产同型号、少逐台灌密 |
| 一机一码（一机一密） | one_device_one_key | 每台 DeviceSecret + 唯一标识 | 安全要求更高、工厂打标出货 |
共同点：
- 激活走 HTTP（短请求）
- 长连接用激活返回的 mqttAccount 连 gmqtt
- ProductSecret / DeviceSecret 不进 MQTT 长连接
2、你会碰到的凭证名词
| 名词 | 白话 |
|---|---|
| ProductKey | 产品标识，同型号共用 |
| ProductSecret | 产品密钥，只用于激活，禁止打进公开二维码 |
| DeviceSecret | 一机一密下的设备密钥，一机一份 |
| system_identifier / 设备唯一标识 | 设备侧永久唯一码（IMEI、MAC、SN…），激活与台账对齐 |
| mqttAccount | 激活成功后下发的 Broker 账号；真正 MQTT 登录用这个 |
| 预注册 | 工厂先登记唯一码打标，激活时才创建设备 |
二维码 / 机身标签：只印标识（码），不印密钥（密）。
3、一型一密（量产友好）
同型号固件只烧同一把产品密钥。设备上电携带产品凭证与自身标识调用激活接口，平台校验后：
- 确认或创建设备台账
- 下发该设备专属 mqttAccount
- 设备保存账号，改连 gmqtt，按 Topic 上报
流程一眼看懂：
管理端：产品模型 → 认证方式选设备认证 → 查看产品证书（ProductKey / ProductSecret）→ 创建设备或预注册 → 设备激活。细节见 一型一密接入。
4、一机一码 / 一机一密（按台管控）
每台设备有自己的 DeviceSecret；机身码/SN 只作身份证。两条常见路径：
- 预注册：台账导入唯一码 → 工厂打标 → 激活时创建设备并分配 MQTT
- 后台已建设备：管理端生成 DeviceSecret → 设备上电 HTTP 激活
自有网关「小程序扫机身码一键添加」是现场形态，见 MQTT 网关。
细节见 一机一码接入。
5、设备唯一标识怎么定
由设备侧生成或读取，需满足：
- 唯一：至少在同一租户/项目产品范围内唯一
- 永久：不因重启、换固件（按产品约定）而变
实践中常用：蜂窝模组 IMEI、网卡 MAC、芯片 UID、工厂分配的 SN。须与台账 / 预注册 / 激活请求中的标识一致，否则激活失败。
6、安全边界（必读）
| 要做 | 不要做 |
|---|---|
| ProductSecret / DeviceSecret 走安全烧录或安全通道 | 把密钥印在二维码、说明书、公开工单附件 |
| 激活后用 mqttAccount 长连 | 拿 ProductSecret 当 MQTT 密码 |
| 密钥轮换/重置后重新激活拿新账号 | 把过期 Access 写死在 Flash 里永不更新 |
| 网关扫码只依赖机身唯一码 | 扫码内容里塞明文密钥 |
更高安全等级（如双向 TLS / SE 芯片）可按项目另配；通用 SaaS 路径以一型一密、一机一密为主。
7、和接入协议怎么串起来
选通信方式（4G/WiFi/网关）
→ 选认证（一型一密 / 一机一码）HTTP 激活
→ 拿 mqttAccount
→ MQTT（或约定的 HTTP/TCP…）上报与订阅
→ 物模型 / 规则告警 / OTA
下一步：