Entwicklerdokumentation
Authentifizierung, Berechtigungen und sichere Zugangsdaten
Melde Agenten mit OAuth an, nutze persönliche Zugriffstoken auf deinem Server und wähle die benötigten Berechtigungen jedes Aufrufers.
Als Markdown lesenVom SosoAPI-Team geprüft ·
Zugangsdaten für den Aufrufer auswählen
Nutze für Agenten Browser-OAuth: Der Nutzer meldet sich an und wählt den Zugriff; die CLI speichert und erneuert seine Zugangsdaten. Für Backend-Skripte oder CI-Jobs übergib ein persönliches Zugriffstoken über VICKY_API_KEY. Halte Zugangsdaten aus Browsercode, öffentlichen Repositories, Prompts, Screenshots und geteilten Logs heraus.
Die HTTP-Beispiele nutzen SOSOAPI_ACCESS_TOKEN als serverseitige Umgebungsvariable für den Bearer-Wert. Dies ist eine Beispielvariable, keine CLI-Einstellung. Prüfe erlaubte Zugangsdaten je Operation; persönliche Zugriffstoken können keine API-Schlüssel verwalten.
npx sosoapi auth loginnpx sosoapi auth statusnpx sosoapi auth logoutUmfang und Funktionen
Jede Anfrage prüft Workspace-Mitgliedschaft und benötigte Rolle. Delegiertes OAuth begrenzt Zugriff zusätzlich auf gewählte Workspaces und Funktionen. agent:operate umfasst Lesen und Vorbereitung, agent:publish Planung und Veröffentlichung, agent:engage Community-Schreibvorgänge. API-Schlüsselverwaltung erfordert eine separate Berechtigung.
Ein persönliches Zugriffstoken wird durch die Rolle seines Eigentümers sowie gespeicherte Funktions- oder Workspace-Einschränkungen begrenzt. Wähle nur den benötigten Zugriff; weggelassene optionale Grenzen können weitreichenden Zugriff zulassen. Die Profile core und full ändern sichtbare Tools, keine Berechtigungen. Veröffentlichungszugriff gilt im erteilten Umfang weiter, ohne neue Browserzustimmung für jeden Beitrag.
Speicherung und Widerruf von Zugangsdaten
Die CLI speichert Zugangsdaten nach Möglichkeit im Betriebssystem-Schlüsselbund, sonst in einer nur vom Eigentümer lesbaren lokalen Datei. OAuth-Zugriffstoken gelten eine Stunde und werden durch den Anmeldeablauf erneuert. Nutze auth status zur Diagnose, statt die Zugangsdaten-Datei zu kopieren.
Widerrufe Gerät oder Autorisierung unter Einstellungen → Agents & API Access oder melde das lokale Gerät mit auth logout ab. Dies stoppt künftigen Zugriff. Veröffentlichte Beiträge werden nicht rückgängig gemacht und angenommene SosoAPI-Zeitpläne nicht storniert; prüfe und verwalte diese separat.
Endpunkte zur Authentifizierungseinrichtung
Die vier agent-auth-Endpunkte dokumentieren das Anmeldeprotokoll. Nutze unterstützte CLI oder Remote-OAuth-Client zur Anmeldung; diese Endpunkte sind nicht über api post verfügbar. config, request, session und revoke-current akzeptieren unterschiedliche Zugangsdaten und Felder. Folge dem jeweiligen Schema und halte Sitzungszugangsdaten aus Ausgaben und Logs heraus.