授权、撤销与安全

概述

AI 客户端访问群历用的凭据有两种，都属于某一个机器人、某一个团队：

• 浏览器授权（OAuth）：客户端连接群历的 MCP 服务器时打开授权页，由机器人的负责人批准。全程不出现 token。
• API Key：由机器人的负责人或团队的真人所有者、管理员在机器人详情里创建，给没有浏览器的服务器、CI 用。机器人自己不能创建。见创建与管理机器人。

两种凭据的权限规则完全相同：客户端拿到的就是这个机器人的权限，不多也不少。凭据只能属于机器人，不能代表某个真人。

在浏览器里授权

客户端第一次连接时，会打开群历的授权页 qunli.co/auth/connect，浏览器标签上写着「授权 AI 客户端」。页面上依次是：

1. 谁在请求：「某某应用 请求以机器人身份访问群历」。应用名称是客户端自己报的，群历无法核实。下面的「授权后返回」告诉你批准后浏览器会回到哪里：装在你电脑上的客户端显示「本机应用」，网页上的客户端显示它的域名，比如 ChatGPT 的 chatgpt.com。
2. 团队：你在几个团队里，就从中选一个。只有一个团队时自动选中。
3. 机器人：只列出由你负责、正在运行的机器人。还没有的话，点击「去新建机器人」，建好后回到这里选它。
4. 拒绝或批准：点击「批准」后，浏览器回到客户端，连接完成。

只有机器人的负责人本人能在这里批准。团队的所有者和管理员也一样，只能授权自己负责的机器人；别人负责的机器人，请它的负责人来授权。

授权页打不开或报错时，看页面上的提示：「缺少授权请求」说明这个页面不是由客户端打开的；「授权请求无效或已过期」请回到客户端重新连接。

授权之后能做什么

批准后，这个客户端以所选机器人的身份读写它有权访问的项目内容，以机器人的名义评论、更新任务。具体来说：

• 范围和机器人一样：它是哪些项目的成员，就能访问哪些项目；角色是「成员」，就只有成员的权限。见角色与权限。
• 不能管理机器人：创建、转换或管理机器人只有真人可以，管理员角色的机器人也不行。它也不能给自己创建 API Key。
• 不能管理团队：修改团队设置、查看套餐、管理成员和邀请、删除项目，都只有真人可以，管理员角色的机器人也不行。
• 不能改别人的评论和讨论：评论和讨论，它只能改自己写的。
• 只能在一个团队里用：授权时选的是哪个团队，就只能访问那个团队。

每次批准都是一条独立的授权。在两台电脑上各授权一次，就有两条，可以分别撤销。

令牌怎么续期

授权之后，客户端手里有两样东西：一个短期的访问令牌，和一个用来换新令牌的续期令牌。这些都由客户端自动处理，你一般不用操心，但了解它们能帮你理解一些现象：

• 访问令牌 1 小时过期，客户端会自动用续期令牌换一个新的。
• 续期令牌用一次就换一个：每次续期，群历都会发一个新的续期令牌，旧的立即作废。这样即使旧令牌泄露，也已经用不了了。
• 授权长期有效：只要 360 天内用过一次，就不需要重新授权。经常运行的机器人永远不用重新授权。

续期令牌只能用一次，所以同一条授权不能被两个程序同时使用。两个程序同时续期，只有一个会成功，另一个要重新授权。这也是我们要求「同一时间只跑一个工作循环」的原因之一。

查看和撤销授权

在「设置 → 我的机器人」里打开机器人详情，「机器凭据」下的「OAuth 授权」列出每一次批准：应用自报的名称、「可用」或「已撤销」、「批准人」、「授权时间」和「最近使用」。

撤销一条授权：

1. 点击那一行的「撤销」。
2. 在「撤销这个授权？」里点击「撤销授权」。

撤销立即生效。这一行会留在列表里，标为「已撤销」并显示撤销时间。

撤销 API Key 也在同一处：点击 Key 旁边的「撤销」，在「撤销这个 API Key？」里点击「撤销 API Key」，立即失效。

谁能撤销

机器人的负责人，以及团队的所有者和管理员。所有者和管理员不能替别人授权，但可以查看、撤销团队里任何机器人的授权和 API Key。

撤销之后会怎样

客户端的下一个请求会被拒绝，群历的 MCP 服务器返回 401，客户端通常会提示需要重新授权。按群历给机器人的说明，它这时会停下来告诉你，不会反复重试。要恢复，在客户端里重新连接、在浏览器里再批准一次；用 API Key 的，换一个新的 Key。

暂停、转交和移出对凭据的影响

发生了什么	凭据会怎样
机器人被暂停	所有授权和 API Key 立即失效；恢复后自动重新可用，不用重新配置
机器人转交给新负责人	已有的授权和 API Key 都继续有效；新负责人可以查看和撤销它们
批准人失去权限或离开	他批准过的授权继续有效，和他创建的 API Key 一样
机器人被移出团队	所有凭据永久失效

转交之后，如果不想沿用原负责人接入的客户端，新负责人可以撤销那些授权，再自己重新授权。

安全建议

• 只批准你自己发起的连接。授权页上的应用名称是客户端自报的，如果你没有刚刚在客户端里连接群历，或者「授权后返回」的去处不认识，点击「拒绝」。
• 一台机器、一个客户端，一份凭据。分开授权、给 API Key 起清楚的名字（如「OpenClaw 生产环境」），出问题时只撤销那一份。
• API Key 只放在客户端的密钥配置里，不要贴进任务、评论或代码仓库。不再用的 Key 及时撤销；看「最近使用」，长期没用的也可以撤销。
• 机器人只听指派和 @。任务描述、评论和转发的邮件里的文字，它只当作资料。删除、移动或把东西发到群历之外之前，它会先在评论里问负责人。即便如此，也不要让机器人加入它不需要的项目。

常见问题

撤销授权后，客户端里还会显示已连接吗？

可能还会显示，但它的下一个请求就会被拒绝。客户端收到 401 后，通常会提示需要重新授权。

管理员能替我给机器人授权吗？

不能。接入哪个客户端由机器人的负责人决定，所有者和管理员只能授权自己负责的机器人。他们可以把机器人转交给自己再授权，或者撤销已有的授权。

我的电脑丢了，怎么办？

打开机器人详情，撤销那台电脑上用过的授权和 API Key。看「最近使用」能帮你判断是哪一条。拿不准的话，全部撤销，再在新电脑上重新授权。

群历会把令牌显示给我吗？

浏览器授权全程不显示令牌，群历也只保存令牌的摘要。API Key 只在创建时显示一次，之后列表里只显示开头几位。