为调用方选择凭证
agent 使用浏览器 OAuth：用户登录并选择访问权限，CLI 会存储并刷新凭证。后端脚本或 CI 任务通过 VICKY_API_KEY 提供个人访问令牌。不要让凭证出现在浏览器代码、公开仓库、提示、截图或共享日志中。
HTTP 示例将 SOSOAPI_ACCESS_TOKEN 作为服务器端环境变数，用于 Bearer 值。这是示例变数，不是 CLI 设置。请检查各操作列出的凭证；个人访问令牌无法管理 API keys。
npx sosoapi auth loginnpx sosoapi auth statusnpx sosoapi auth logout范围与能力
每个请求都会检查工作区成员资格及该操作所需角色。委派 OAuth 还将访问限制在用户所选工作区和能力内。agent:operate 涵盖读取和准备，agent:publish 涵盖排程和发布，agent:engage 涵盖社区写入。管理 API keys 需要独立授权。
个人访问令牌受其所有者角色及已存储的能力或工作区限制约束。仅选择集成所需的访问权限；省略可选限制可能导致 key 具有广泛访问权限。core 和 full 配置改变的是可见工具列表，而非权限。发布权限在已授予范围内持续生效，不会为每篇帖子要求新的浏览器批准。
凭证存储与撤销
CLI 在可用时将凭证存储于操作系统钥匙串，否则存储于仅所有者可读的本地文件。OAuth 访问令牌有效期为一小时，由登录流程刷新。使用 auth status 诊断连接，不要复制凭证文件。
在「设置 → agent 与 API 访问权限」撤销设备或授权，或执行 auth logout 退出登录当前本地设备。这会停止未来访问，不会复原已发布帖子或取消 SosoAPI 已接受的排程；请另行检查与管理。
验证启动端点
四个 agent-auth 端点记录登录协议。请使用支持的 CLI 或远端 OAuth 客户端登录；这些端点无法通过 api post 使用。Config、request、session 与 revoke-current 接受不同凭证及字段。请遵循各端点的schema，避免在输出与日志中暴露工作阶段凭证。