為呼叫者選擇憑證
Assistant 建議用瀏覽器 OAuth，由使用者登入及選擇權限，CLI 負責更新已儲存憑證。後端 script 或 CI 可經 VICKY_API_KEY 提供 personal access token。唔好將憑證放入網站、公開 repo、截圖、prompt 或共享 log。
HTTP 範例用 SOSOAPI_ACCESS_TOKEN 作伺服器 Bearer 值環境變數示例，佢唔係 CLI 設定變數。每項操作列出實際接受嘅憑證類型；personal access token 唔可以管理 API keys。
npx sosoapi auth loginnpx sosoapi auth statusnpx sosoapi auth logout範圍及能力授權
工作空間成員資格同操作最低角色仍然適用。委派 OAuth 受已選工作空間及能力限制：agent:operate 用於獲准讀取及準備，agent:publish 用於獲准排程／發佈，agent:engage 用於獲准社群寫入。API key 管理權限另行控制。
Personal access token 受擁有人角色及已儲存能力／工作空間限制。冇選可選限制嘅 key 可以較廣，應只選整合所需權限。Core／full profile 只改工具可見性，唔改授權。發佈同意喺所選範圍內持續有效，唔係每帖都有瀏覽器批准視窗。
憑證儲存及撤銷
CLI 會優先用作業系統 keychain，否則用只供擁有人讀取嘅憑證檔。OAuth access token 有效期一小時，經現有流程更新。唔好為排查連接而讀取或複製憑證檔。
喺 Settings → Agents & API Access 撤銷相關裝置或授權，或用 auth logout 撤銷目前本機裝置。撤銷權限唔會撤回已發佈內容，亦唔會自動取消已接受排程；要另行檢視再選操作。
登入初始化 endpoints
四個 agent-auth endpoints 係協定文件，唔係 api post 產品指令。登入用受支援 CLI 或 remote OAuth 客戶端。Config／request／session／revoke-current 嘅憑證同回應欄位唔同，要依照各自 schema，唔好輸出 session 資料。