# 登入、權限及安全憑證

Canonical URL: https://sosoapi.ai/zh-hant/docs/authentication

了解瀏覽器 OAuth、伺服器個人存取 token、工作空間角色、能力授權及獨立登入初始化 contract。

## 為呼叫者選擇憑證

Assistant 建議用瀏覽器 OAuth，由使用者登入及選擇權限，CLI 負責更新已儲存憑證。後端 script 或 CI 可經 VICKY_API_KEY 提供 personal access token。唔好將憑證放入網站、公開 repo、截圖、prompt 或共享 log。

HTTP 範例用 SOSOAPI_ACCESS_TOKEN 作伺服器 Bearer 值環境變數示例，佢唔係 CLI 設定變數。每項操作列出實際接受嘅憑證類型；personal access token 唔可以管理 API keys。

```
npx sosoapi auth login
```

```
npx sosoapi auth status
```

```
npx sosoapi auth logout
```

- [完整 API 參考文件](https://sosoapi.ai/zh-hant/docs/api)

## 範圍及能力授權

工作空間成員資格同操作最低角色仍然適用。委派 OAuth 受已選工作空間及能力限制：agent:operate 用於獲准讀取及準備，agent:publish 用於獲准排程／發佈，agent:engage 用於獲准社群寫入。API key 管理權限另行控制。

Personal access token 受擁有人角色及已儲存能力／工作空間限制。冇選可選限制嘅 key 可以較廣，應只選整合所需權限。Core／full profile 只改工具可見性，唔改授權。發佈同意喺所選範圍內持續有效，唔係每帖都有瀏覽器批准視窗。

## 憑證儲存及撤銷

CLI 會優先用作業系統 keychain，否則用只供擁有人讀取嘅憑證檔。OAuth access token 有效期一小時，經現有流程更新。唔好為排查連接而讀取或複製憑證檔。

喺 Settings → Agents & API Access 撤銷相關裝置或授權，或用 auth logout 撤銷目前本機裝置。撤銷權限唔會撤回已發佈內容，亦唔會自動取消已接受排程；要另行檢視再選操作。

## 登入初始化 endpoints

四個 agent-auth endpoints 係協定文件，唔係 api post 產品指令。登入用受支援 CLI 或 remote OAuth 客戶端。Config／request／session／revoke-current 嘅憑證同回應欄位唔同，要依照各自 schema，唔好輸出 session 資料。

- [登入 endpoint 參考](https://sosoapi.ai/zh-hant/docs/api)