證指南：Session Cookie、Bearer Token與PAT的3種實(shí)戰(zhàn)用法)
Openship API認(rèn)證指南Session Cookie、Bearer Token與PAT的3種實(shí)戰(zhàn)用法【免費(fèi)下載鏈接】openshipSelf-hosted deployment platform項(xiàng)目地址: https://gitcode.com/GitHub_Trending/ope/openshipOpenship API 認(rèn)證是每一位自托管部署平臺(tái)用戶繞不開的功課。Openship 是一個(gè)功能強(qiáng)大的自托管部署平臺(tái)Self-hosted deployment platform無論是瀏覽器里的管理面板、終端中的 CLI還是接入的 AI 助手每一次請(qǐng)求都要先回答一個(gè)問題你是誰本指南帶你快速吃透 Openship 的三種核心認(rèn)證方式——Session Cookie、Bearer Token 與 PAT個(gè)人訪問令牌并附常見錯(cuò)誤速查表看完即可上手。一、3種認(rèn)證方式1張表看懂方式你要提供什么適用場(chǎng)景Session Cookie瀏覽器自動(dòng)攜帶的 httpOnly Cookie管理面板Dashboard日常操作Bearer TokenAuthorization: Bearer opsh_pat_…請(qǐng)求頭CLI、腳本、服務(wù)器間調(diào)用MCP OAuthAI 客戶端自動(dòng)獲取的 OAuth 2.1 令牌Claude、Cursor 等 AI 助手一次請(qǐng)求只會(huì)走其中一條路徑Openship 先檢查 Bearer 令牌沒有再看 Session Cookie兩者都沒有時(shí)才考慮桌面版的本地回環(huán)模式。二、Session Cookie瀏覽器登錄一次30天無憂登錄管理面板后Openship 會(huì)給你的瀏覽器發(fā)一個(gè)簽名的 httpOnly Session Cookie之后每次請(qǐng)求都由瀏覽器自動(dòng)攜帶你完全無感。幾個(gè)值得了解的設(shè)計(jì)細(xì)節(jié)httpOnly 保護(hù)頁面上的 JavaScript 讀不到這個(gè) Cookie即使惡意腳本混入頁面也無法竊取你的會(huì)話30 天有效期且每小時(shí)自動(dòng)續(xù)期日常使用基本不會(huì)掉線Cookie 帶模式前綴自托管實(shí)例是openship.session_token云端模式則是openship-cloud.session_token兩種模式同機(jī)部署也互不干擾安全開關(guān)自動(dòng)適配只有在 HTTPS 下才會(huì)附加 Secure 屬性本地 HTTP 實(shí)例不會(huì)出現(xiàn)登錄后被彈回登錄頁的怪圈。相關(guān)實(shí)現(xiàn)可參考 apps/api/src/lib/session-cookie.ts 與 apps/api/src/lib/auth.ts。三、Bearer TokenCLI 與腳本的萬能鑰匙沒有瀏覽器的環(huán)境服務(wù)器、CI、腳本就需要在請(qǐng)求頭里顯式攜帶令牌Authorization: Bearer opsh_pat_…這里有個(gè)新手常踩的安全坑瀏覽器來源的請(qǐng)求攜帶 Bearer 令牌會(huì)被直接拒絕401 BEARER_NOT_ALLOWED_FROM_BROWSER。這是刻意為之——從面板頁面里發(fā)出 Bearer 令牌往往是憑證被盜取后回放的信號(hào)所以大門直接關(guān)上而 CLI 不發(fā)Origin頭自然暢通無阻。令牌解析的統(tǒng)一入口見 apps/api/src/lib/bearer.ts完整鑒權(quán)流程見 apps/api/src/middleware/auth.ts。四、PAT 個(gè)人訪問令牌如何創(chuàng)建、使用與回收PATPersonal Access Token是 Bearer Token 的標(biāo)準(zhǔn)形態(tài)格式固定為opsh_pat_加 43 位隨機(jī)密鑰256 位熵。兩個(gè)關(guān)鍵安全特性要牢記??明文只顯示一次服務(wù)器只保存它的 SHA-256 哈希創(chuàng)建時(shí)看到的明文永遠(yuǎn)無法再次查看。丟了只能吊銷重建令牌永遠(yuǎn)以創(chuàng)建者身份行動(dòng)除非你主動(dòng)收窄它的權(quán)限。1?? 在面板中創(chuàng)建打開Settings → Personal Access Tokens填寫名稱并選擇權(quán)限即可生成令牌并當(dāng)場(chǎng)復(fù)制。2?? 用 CLI 創(chuàng)建推薦腳本場(chǎng)景# 完整權(quán)限令牌必須顯式聲明 --full-access openship token create my-laptop --full-access # 只讀 90天過期的 CI 令牌 openship token create ci-readonly --read-only --expires 90 --full-access # 只綁定單個(gè)項(xiàng)目的部署機(jī)器人令牌 openship token create deploy-bot --grant project:proj_123:read,write兩種收窄手段按需選用手段效果典型用途--read-only拒絕一切寫操作POST/PUT/PATCH/DELETE監(jiān)控、看板、只讀審計(jì)--grant限制到指定資源令牌變成受限主體部署機(jī)器人、受限代理3?? 讓 CLI 記住令牌openship login --token opsh_pat_xxxx --context prod openship context use prod # 多實(shí)例間一鍵切換配置保存在~/.openship/config.json權(quán)限 0600令牌只會(huì)以 Bearer 頭發(fā)送絕不會(huì)被存成 Cookie。五、MCP OAuthAI 助手的專屬通道如果你要接入 Claude、Cursor 這類支持 MCP 的 AI 客戶端無需手動(dòng)分發(fā) PATOpenship 本身就是一座標(biāo)準(zhǔn)的OAuth 2.1 授權(quán)服務(wù)器?？蛻舳耸状握{(diào)用POST /api/mcp時(shí)會(huì)拿到401指引隨后自動(dòng)完成注冊(cè)與 PKCE 授權(quán)流程最后在你的瀏覽器里彈出同意頁——在這里你可以勾選只讀或指定可訪問的項(xiàng)目/服務(wù)器范圍。?? 沒有經(jīng)過同意頁的 OAuth 令牌默認(rèn)拒絕一切訪問不存在已認(rèn)證但未授權(quán)的灰色地帶。已連接的客戶端可在Settings → MCP中查看并一鍵斷開斷開即吊銷全部令牌。六、桌面版零認(rèn)證模式本地回環(huán)的便利桌面應(yīng)用運(yùn)行在你自己的電腦上強(qiáng)制登錄純屬多余因此啟用零認(rèn)證模式API 自動(dòng)創(chuàng)建一個(gè)本地管理員把本機(jī)流量當(dāng)作該用戶處理。它只有同時(shí)滿足三道閘門才生效僅限桌面應(yīng)用、認(rèn)證模式為none、且請(qǐng)求來自內(nèi)核確認(rèn)的127.0.0.1不信任可偽造的 Host 頭。自建服務(wù)器實(shí)例默認(rèn)走local模式缺會(huì)話就是普通的401。七、常見錯(cuò)誤碼速查表狀態(tài)碼含義怎么辦401 INVALID_TOKEN令牌錯(cuò)誤、過期或已吊銷檢查令牌內(nèi)容必要時(shí)重建401 BEARER_NOT_ALLOWED_FROM_BROWSER瀏覽器來源攜帶了 Bearer 令牌從 CLI/服務(wù)器發(fā)送請(qǐng)求403 TOKEN_READ_ONLY只讀令牌嘗試了寫操作用有寫權(quán)限的令牌403 TOKEN_ORG_SCOPE令牌綁定的是另一個(gè)組織在令牌所屬組織內(nèi)使用503 AUTH_UNAVAILABLE會(huì)話校驗(yàn)本身故障如數(shù)據(jù)庫異常稍后重試它絕不會(huì)悄悄降級(jí)為免認(rèn)證八、安全最佳實(shí)踐清單 ?能收窄就收窄CI 用只讀令牌機(jī)器人用單項(xiàng)目 scope別讓令牌默認(rèn)全權(quán)設(shè)過期時(shí)間--expires支持 1–365 天臨時(shí)任務(wù)用短命令牌明文只顯示一次生成后立即存入密碼管理器或環(huán)境變量定期清理openship token list查看使用情況閑置令牌及時(shí)revoke改密即踢人密碼重置會(huì)自動(dòng)吊銷全部會(huì)話舊會(huì)話立刻失效。 相關(guān)資料認(rèn)證模型完整文檔apps/web/content/docs/security/auth.mdxTokens API 參考apps/web/content/docs/api/tokens.mdxCLI 訪問與令牌管理apps/web/content/docs/cli/access.mdxPAT 生成與哈希實(shí)現(xiàn)apps/api/src/lib/pat.ts認(rèn)證中間件主流程apps/api/src/middleware/auth.ts掌握 Session Cookie、Bearer Token 與 PAT 這三把鑰匙你就能從容駕馭 Openship 的整個(gè) API 體系——瀏覽器里無感登錄、終端里一鍵部署、AI 助手中安全協(xié)作各得其所?！久赓M(fèi)下載鏈接】openshipSelf-hosted deployment platform項(xiàng)目地址: https://gitcode.com/GitHub_Trending/ope/openship創(chuàng)作聲明：本文部分內(nèi)容由AI輔助生成（AIGC），僅供參考 Openship API認(rèn)證指南：Session Cookie、Bearer Token與PAT的3種實(shí)戰(zhàn)用法
Openship API認(rèn)證指南Session Cookie、Bearer Token與PAT的3種實(shí)戰(zhàn)用法【免費(fèi)下載鏈接】openshipSelf-hosted deployment platform項(xiàng)目地址: https://gitcode.com/GitHub_Trending/ope/openshipOpenship API 認(rèn)證是每一位自托管部署平臺(tái)用戶繞不開的功課。Openship 是一個(gè)功能強(qiáng)大的自托管部署平臺(tái)Self-hosted deployment platform無論是瀏覽器里的管理面板、終端中的 CLI還是接入的 AI 助手每一次請(qǐng)求都要先回答一個(gè)問題你是誰本指南帶你快速吃透 Openship 的三種核心認(rèn)證方式——Session Cookie、Bearer Token 與 PAT個(gè)人訪問令牌并附常見錯(cuò)誤速查表看完即可上手。一、3種認(rèn)證方式1張表看懂方式你要提供什么適用場(chǎng)景Session Cookie瀏覽器自動(dòng)攜帶的 httpOnly Cookie管理面板Dashboard日常操作Bearer TokenAuthorization: Bearer opsh_pat_…請(qǐng)求頭CLI、腳本、服務(wù)器間調(diào)用MCP OAuthAI 客戶端自動(dòng)獲取的 OAuth 2.1 令牌Claude、Cursor 等 AI 助手一次請(qǐng)求只會(huì)走其中一條路徑Openship 先檢查 Bearer 令牌沒有再看 Session Cookie兩者都沒有時(shí)才考慮桌面版的本地回環(huán)模式。二、Session Cookie瀏覽器登錄一次30天無憂登錄管理面板后Openship 會(huì)給你的瀏覽器發(fā)一個(gè)簽名的 httpOnly Session Cookie之后每次請(qǐng)求都由瀏覽器自動(dòng)攜帶你完全無感。幾個(gè)值得了解的設(shè)計(jì)細(xì)節(jié)httpOnly 保護(hù)頁面上的 JavaScript 讀不到這個(gè) Cookie即使惡意腳本混入頁面也無法竊取你的會(huì)話30 天有效期且每小時(shí)自動(dòng)續(xù)期日常使用基本不會(huì)掉線Cookie 帶模式前綴自托管實(shí)例是openship.session_token云端模式則是openship-cloud.session_token兩種模式同機(jī)部署也互不干擾安全開關(guān)自動(dòng)適配只有在 HTTPS 下才會(huì)附加 Secure 屬性本地 HTTP 實(shí)例不會(huì)出現(xiàn)登錄后被彈回登錄頁的怪圈。相關(guān)實(shí)現(xiàn)可參考 apps/api/src/lib/session-cookie.ts 與 apps/api/src/lib/auth.ts。三、Bearer TokenCLI 與腳本的萬能鑰匙沒有瀏覽器的環(huán)境服務(wù)器、CI、腳本就需要在請(qǐng)求頭里顯式攜帶令牌Authorization: Bearer opsh_pat_…這里有個(gè)新手常踩的安全坑瀏覽器來源的請(qǐng)求攜帶 Bearer 令牌會(huì)被直接拒絕401 BEARER_NOT_ALLOWED_FROM_BROWSER。這是刻意為之——從面板頁面里發(fā)出 Bearer 令牌往往是憑證被盜取后回放的信號(hào)所以大門直接關(guān)上而 CLI 不發(fā)Origin頭自然暢通無阻。令牌解析的統(tǒng)一入口見 apps/api/src/lib/bearer.ts完整鑒權(quán)流程見 apps/api/src/middleware/auth.ts。四、PAT 個(gè)人訪問令牌如何創(chuàng)建、使用與回收PATPersonal Access Token是 Bearer Token 的標(biāo)準(zhǔn)形態(tài)格式固定為opsh_pat_加 43 位隨機(jī)密鑰256 位熵。兩個(gè)關(guān)鍵安全特性要牢記??明文只顯示一次服務(wù)器只保存它的 SHA-256 哈希創(chuàng)建時(shí)看到的明文永遠(yuǎn)無法再次查看。丟了只能吊銷重建令牌永遠(yuǎn)以創(chuàng)建者身份行動(dòng)除非你主動(dòng)收窄它的權(quán)限。1?? 在面板中創(chuàng)建打開Settings → Personal Access Tokens填寫名稱并選擇權(quán)限即可生成令牌并當(dāng)場(chǎng)復(fù)制。2?? 用 CLI 創(chuàng)建推薦腳本場(chǎng)景# 完整權(quán)限令牌必須顯式聲明 --full-access openship token create my-laptop --full-access # 只讀 90天過期的 CI 令牌 openship token create ci-readonly --read-only --expires 90 --full-access # 只綁定單個(gè)項(xiàng)目的部署機(jī)器人令牌 openship token create deploy-bot --grant project:proj_123:read,write兩種收窄手段按需選用手段效果典型用途--read-only拒絕一切寫操作POST/PUT/PATCH/DELETE監(jiān)控、看板、只讀審計(jì)--grant限制到指定資源令牌變成受限主體部署機(jī)器人、受限代理3?? 讓 CLI 記住令牌openship login --token opsh_pat_xxxx --context prod openship context use prod # 多實(shí)例間一鍵切換配置保存在~/.openship/config.json權(quán)限 0600令牌只會(huì)以 Bearer 頭發(fā)送絕不會(huì)被存成 Cookie。五、MCP OAuthAI 助手的專屬通道如果你要接入 Claude、Cursor 這類支持 MCP 的 AI 客戶端無需手動(dòng)分發(fā) PATOpenship 本身就是一座標(biāo)準(zhǔn)的OAuth 2.1 授權(quán)服務(wù)器?？蛻舳耸状握{(diào)用POST /api/mcp時(shí)會(huì)拿到401指引隨后自動(dòng)完成注冊(cè)與 PKCE 授權(quán)流程最后在你的瀏覽器里彈出同意頁——在這里你可以勾選只讀或指定可訪問的項(xiàng)目/服務(wù)器范圍。?? 沒有經(jīng)過同意頁的 OAuth 令牌默認(rèn)拒絕一切訪問不存在已認(rèn)證但未授權(quán)的灰色地帶。已連接的客戶端可在Settings → MCP中查看并一鍵斷開斷開即吊銷全部令牌。六、桌面版零認(rèn)證模式本地回環(huán)的便利桌面應(yīng)用運(yùn)行在你自己的電腦上強(qiáng)制登錄純屬多余因此啟用零認(rèn)證模式API 自動(dòng)創(chuàng)建一個(gè)本地管理員把本機(jī)流量當(dāng)作該用戶處理。它只有同時(shí)滿足三道閘門才生效僅限桌面應(yīng)用、認(rèn)證模式為none、且請(qǐng)求來自內(nèi)核確認(rèn)的127.0.0.1不信任可偽造的 Host 頭。自建服務(wù)器實(shí)例默認(rèn)走local模式缺會(huì)話就是普通的401。七、常見錯(cuò)誤碼速查表狀態(tài)碼含義怎么辦401 INVALID_TOKEN令牌錯(cuò)誤、過期或已吊銷檢查令牌內(nèi)容必要時(shí)重建401 BEARER_NOT_ALLOWED_FROM_BROWSER瀏覽器來源攜帶了 Bearer 令牌從 CLI/服務(wù)器發(fā)送請(qǐng)求403 TOKEN_READ_ONLY只讀令牌嘗試了寫操作用有寫權(quán)限的令牌403 TOKEN_ORG_SCOPE令牌綁定的是另一個(gè)組織在令牌所屬組織內(nèi)使用503 AUTH_UNAVAILABLE會(huì)話校驗(yàn)本身故障如數(shù)據(jù)庫異常稍后重試它絕不會(huì)悄悄降級(jí)為免認(rèn)證八、安全最佳實(shí)踐清單 ?能收窄就收窄CI 用只讀令牌機(jī)器人用單項(xiàng)目 scope別讓令牌默認(rèn)全權(quán)設(shè)過期時(shí)間--expires支持 1–365 天臨時(shí)任務(wù)用短命令牌明文只顯示一次生成后立即存入密碼管理器或環(huán)境變量定期清理openship token list查看使用情況閑置令牌及時(shí)revoke改密即踢人密碼重置會(huì)自動(dòng)吊銷全部會(huì)話舊會(huì)話立刻失效。 相關(guān)資料認(rèn)證模型完整文檔apps/web/content/docs/security/auth.mdxTokens API 參考apps/web/content/docs/api/tokens.mdxCLI 訪問與令牌管理apps/web/content/docs/cli/access.mdxPAT 生成與哈希實(shí)現(xiàn)apps/api/src/lib/pat.ts認(rèn)證中間件主流程apps/api/src/middleware/auth.ts掌握 Session Cookie、Bearer Token 與 PAT 這三把鑰匙你就能從容駕馭 Openship 的整個(gè) API 體系——瀏覽器里無感登錄、終端里一鍵部署、AI 助手中安全協(xié)作各得其所?！久赓M(fèi)下載鏈接】openshipSelf-hosted deployment platform項(xiàng)目地址: https://gitcode.com/GitHub_Trending/ope/openship創(chuàng)作聲明：本文部分內(nèi)容由AI輔助生成（AIGC），僅供參考