呼び出し元の認証情報を選ぶ
エージェントにはブラウザーOAuthを使用します。本人がログインしてアクセスを選び、CLIが認証情報を保存・更新します。バックエンドスクリプトやCIにはVICKY_API_KEYで個人用アクセストークンを指定します。認証情報はブラウザーコード、公開リポジトリ、プロンプト、スクリーンショット、共有ログに含めないでください。
HTTP例はBearer値用のサーバー環境変数SOSOAPI_ACCESS_TOKENを使います。例の変数で、CLI設定ではありません。操作ごとの認証要件を確認してください。個人用アクセストークンはAPIキーを管理できません。
npx sosoapi auth loginnpx sosoapi auth statusnpx sosoapi auth logout範囲と機能権限
各リクエストでワークスペース所属と操作に必要なロールを確認します。委任OAuthは選択されたワークスペースと機能にも制限されます。agent:operateは読み取り・準備、agent:publishは予約・公開、agent:engageはコミュニティ書き込みです。APIキー管理には別の権限が必要です。
個人用アクセストークンは、所有者のロールと保存された機能・ワークスペース制限に従います。連携に必要なアクセスだけを選んでください。任意制限を省略すると、幅広いアクセスが残る場合があります。coreとfullは表示ツールを変えるだけで権限は変えません。公開権限は認可範囲内で継続し、投稿ごとのブラウザー承認はありません。
認証情報の保存と失効
CLIは利用可能ならOSのキーチェーン、それ以外は所有者のみ読めるローカルファイルに認証情報を保存します。OAuthアクセストークンは一時間で、ログイン手順で更新されます。認証ファイルのコピーではなくauth statusで診断してください。
Settings → Agents & API Accessでデバイス・認可を失効するか、auth logoutで現在の端末からログアウトできます。以後のアクセスは止まりますが、公開の取消やSosoAPI受理済み予約のキャンセルはしません。別途管理してください。
認証初期設定のエンドポイント
四つのagent-authエンドポイントはログインプロトコルを説明します。対応CLIかリモートOAuthを使ってください。api postでは利用できません。config、request、session、revoke-currentで認証情報と入力が異なります。各スキーマに従い、セッション認証情報を出力やログに含めないでください。