#个人访问令牌

个人访问令牌用于让 CLI、脚本或外部集成代表你的账号访问 HiFox。它和登录后的浏览器会话类似，能做什么取决于你的账号在组织、空间和资源中的权限。

个人访问令牌应该像密码一样保管。不要把它写进代码仓库、任务评论、Agent 对话、公开文档或聊天消息里。

#个人访问令牌适合做什么？

个人访问令牌常用于：

• 在远程电脑上登录 HiFox CLI；
• 让脚本调用 HiFox API；
• 在 CI、自动化任务或内部工具中访问 HiFox；
• 连接需要代表你账号身份运行的外部集成。

如果只是连接一台新电脑，优先使用电脑连接向导给出的安装命令或安装令牌。个人访问令牌更适合需要长期保存、手动配置或脚本化访问的场景。

#使用前需要了解什么？

如果你离开某个组织、空间权限被调整，或账号权限发生变化，令牌能访问的内容也会随之变化。

#从哪里进入？

打开 设置 → 个人访问令牌。

页面会显示你当前账号下仍然有效的令牌。列表中通常可以看到：

• 令牌名称；
• 令牌前缀；
• 创建时间；
• 最近使用时间；
• 过期时间；
• 来源标签，例如安装创建、浏览器插件；
• 如果令牌关联电脑，会显示关联电脑名称和状态。

列表不会显示完整令牌。如果你忘记复制或丢失了完整令牌，只能创建一个新的令牌。

#创建个人访问令牌

操作步骤：

1. 打开 设置 → 个人访问令牌。
2. 点击 创建令牌。
3. 输入一个容易识别用途的名称。
4. 选择过期时间：30 天、90 天、1 年或永不过期。
5. 点击 创建令牌。
6. 在创建成功弹窗中复制完整令牌。
7. 把令牌保存到安全位置，例如密码管理器、CI Secret 或本机安全配置中。

令牌名称建议写清楚用途，例如：

• MacBook CLI；
• CI deploy script；
• staging automation；
• browser extension。

不要创建一个“万能令牌”到处复用。更好的做法是按用途分别创建令牌，需要停用某个用途时就只吊销对应令牌。

#保存和使用令牌

#用于 HiFox CLI

如果你需要在电脑上使用 HiFox CLI，可以用个人访问令牌登录：

hifox auth login --token <token>

也可以省略 token 值，让 CLI 提示你输入：

hifox auth login --token

登录成功后，CLI 会把令牌保存到本机配置中。之后 CLI 请求会使用这个令牌进行身份验证。

你也可以通过环境变量提供令牌。HiFox CLI 会读取：

HIFOX_TOKEN=<token>

部分通用环境中也可以使用兼容的 APP_TOKEN。如果两者都存在，优先使用产品自己的环境变量。

#用于 API 或脚本

脚本调用 HiFox API 时，把令牌放在 HTTP 请求头中：

Authorization: Bearer <token>

不要把令牌直接写进脚本源码。建议从安全的环境变量、Secret 管理器或运行平台的密钥配置中读取。

#查看现有令牌

在 个人访问令牌 页面中，你可以查看当前仍然有效的令牌。

常见字段含义：

最近使用时间可以帮助你判断令牌是否仍在被某个脚本、CLI 或电脑使用。它不是实时心跳，只表示最近一次认证成功的时间。

#吊销令牌

当令牌不再使用、即将过期、用途结束或怀疑泄露时，应立即吊销。

操作步骤：

1. 打开 设置 → 个人访问令牌。
2. 找到要停用的令牌。
3. 打开操作菜单。
4. 点击 删除。
5. 在确认弹窗中确认。

页面上的“删除”实际含义是吊销令牌。吊销后，这个令牌会立刻失效，不能再用于 CLI、API 或外部集成。

如果令牌关联了电脑，吊销后对应电脑或 CLI 可能会断开，直到重新登录或重新连接。

#CLI 退出登录和吊销的区别

hifox auth logout 只会移除当前电脑本地保存的登录令牌，不会让服务端令牌失效。

如果你只是想让当前电脑不再使用这个令牌，可以运行：

hifox auth logout

如果你希望令牌彻底失效，必须回到 设置 → 个人访问令牌，删除或吊销对应令牌。

#安全建议

建议按下面方式管理个人访问令牌：

• 每个用途单独创建一个令牌；
• 优先设置明确过期时间，避免长期不过期令牌；
• 只保存到密码管理器、CI Secret 或受保护的本机配置；
• 不要提交到 Git 仓库；
• 不要粘贴到任务、评论、Agent 对话、Slack、飞书或公开文档中；
• 不要让多个成员共享同一个个人令牌；
• 定期检查最近使用时间，删除不再使用的令牌；
• 怀疑泄露时，立即吊销并替换相关配置。

如果令牌已经泄露，先吊销旧令牌，再创建新令牌，并更新所有使用它的脚本、CLI 或集成配置。

#常见问题

#忘记复制令牌怎么办？

无法再次查看完整令牌。删除旧令牌，重新创建一个新的令牌，并更新使用它的配置。

#令牌过期后怎么办？

创建一个新令牌，并替换 CLI、脚本、CI Secret 或外部集成中的旧值。确认新令牌可用后，可以删除旧令牌。

#为什么创建时不能选择权限范围？

当前版本的个人访问令牌没有单独的 scope 选择。令牌代表你的账号身份，权限取决于你的账号在 HiFox 中的组织、空间和资源权限。

#如何确认 CLI 当前使用哪个令牌？

可以运行：

hifox auth status

CLI 会检查当前保存的登录信息，并显示当前认证状态。出于安全原因，它只会展示令牌的一小段前缀，不会显示完整令牌。

#删除令牌会影响浏览器登录吗？

不会直接退出你的浏览器会话。删除令牌只会让使用这个令牌的 CLI、脚本、电脑或外部集成失效。

#我可以把个人访问令牌交给 Agent 使用吗？

不建议。个人访问令牌代表你的账号身份。除非你非常清楚用途和风险，否则不要把它粘贴到 Agent 对话、任务评论或普通提示词里。需要让 Agent 访问代码库或服务时，优先使用 HiFox 的代码库、电脑和密钥配置。