# 驗證、權限與安全憑證

標準 URL： https://sosoapi.ai/zh-tw/docs/authentication

代理程式使用 OAuth 登入，伺服器使用個人存取權杖，並選擇各呼叫端所需的權限。

## 為呼叫端選擇憑證

代理程式使用瀏覽器 OAuth：使用者登入並選擇存取權限，CLI 會儲存並更新憑證。後端指令碼或 CI 任務透過 VICKY_API_KEY 提供個人存取權杖。不要讓憑證出現在瀏覽器程式碼、公開儲存庫、提示、截圖或共享日誌中。

HTTP 範例將 SOSOAPI_ACCESS_TOKEN 作為伺服器端環境變數，用於 Bearer 值。這是範例變數，不是 CLI 設定。請檢查各操作列出的憑證；個人存取權杖無法管理 API keys。

```
npx sosoapi auth login
```

```
npx sosoapi auth status
```

```
npx sosoapi auth logout
```

- [完整 API 參考](https://sosoapi.ai/zh-tw/docs/api)

## 範圍與能力

每個請求都會檢查工作空間成員資格及該操作所需角色。委派 OAuth 還將存取限制在使用者所選工作空間和能力內。agent:operate 涵蓋讀取和準備，agent:publish 涵蓋排程和發布，agent:engage 涵蓋社群寫入。管理 API keys 需要獨立授權。

個人存取權杖受其擁有者角色及已儲存的能力或工作空間限制約束。僅選擇整合所需的存取權限；省略選填限制可能導致 key 具有廣泛存取權限。core 和 full 設定改變的是可見工具列表，而非權限。發布權限在已授予範圍內持續生效，不會為每則貼文要求新的瀏覽器核准。

## 憑證儲存與撤銷

CLI 在可用時將憑證儲存於作業系統鑰匙圈，否則儲存於僅擁有者可讀的本機檔案。OAuth 存取權杖有效期為一小時，由登入流程更新。使用 auth status 診斷連結，不要複製憑證檔案。

在「設定 → 代理程式與 API 存取權」撤銷裝置或授權，或執行 auth logout 登出目前本機裝置。這會停止未來存取，不會復原已發布貼文或取消 SosoAPI 已接受的排程；請另行檢查與管理。

## 驗證啟動端點

四個 agent-auth 端點記錄登入通訊協定。請使用支援的 CLI 或遠端 OAuth 用戶端登入；這些端點無法透過 api post 使用。Config、request、session 與 revoke-current 接受不同憑證及欄位。請遵循各端點的結構描述，避免在輸出與日誌中暴露工作階段憑證。

- [身分驗證端點參考](https://sosoapi.ai/zh-tw/docs/api)