API 准备与 Personal Access Token

核心认识

API 调用前需要可访问的 Agent 或应用标识、服务端地址和访问令牌。Personal Access Token 属于服务器秘密，不能放入浏览器源码、移动包或公开仓库。

• 为不同环境和服务使用不同令牌。
• 令牌通过密钥系统或环境变量注入。
• 限制令牌权限和有效期并记录所有者。
• 日志只记录请求标识，不记录 Authorization 值。

操作方法

1. 发布目标 Agent 或应用到 API 渠道。
2. 创建测试用 Personal Access Token。
3. 把令牌保存到服务端秘密变量。
4. 调用最小接口后立即检查审计记录。

export COZE_ACCESS_TOKEN="从密钥系统注入"
curl -H "Authorization: Bearer $COZE_ACCESS_TOKEN" "$COZE_API_HOST/v1/conversations?bot_id=$COZE_BOT_ID"

验收与边界

• 能说明本功能的输入、输出和权限边界。
• 能用一个最小示例验证配置生效。
• 真实生产数据和凭据未写入页面、仓库或日志。