文档中心
费用中心控制台

管理 Bridge 接入 Token ​

连接 AI 助手

业务服务通过 WebSocket 渠道账号使用 Bridge HTTP 和事件订阅，两者使用同一个 wst_ Token。Token 授权访问渠道账号，账号的绑定对象决定使用哪个智能体实例或模板。

不再使用旧调试 Token 接入 ​

旧 Direct Invoke 的临时调试 Token 和 Agent API Token 不适用于当前 Bridge 接入。不要把控制台登录凭证或模型 API Key 用作渠道 Token。已有客户端请按Direct Invoke 凭证迁移步骤调整。

为业务服务准备正式凭证 ​

先创建并验证目标智能体实例，再创建 WebSocket 渠道账号。为测试和生产服务分别签发 Token，不要共用个人调试凭证。

创建 WebSocket Token ​

  1. 在 渠道账号 中打开目标 WebSocket 账号，进入 Token。

    打开渠道账号

  2. 选择 新建 Token，填写可以识别业务服务和环境的 Token 名称，并设置符合团队策略的 有效期。

  3. 选择 创建 Token，立即把一次性显示的明文保存到服务端密钥存储。

  4. 使用新 Token 验证 HTTP 消息提交、WebSocket 订阅以及对应实例的回复。

也可以在 凭证管理 的 WebSocket Token 中选择渠道账号创建。新建账号时同步创建的 Token 同样只会显示一次明文。

按调用方拆分 Token ​

同一渠道账号可以为多个服务创建独立 Token，便于单独轮换和停用。这些 Token 的账号权限相同，不能用它们替代最终用户授权。业务服务必须根据已认证用户设置 user_id，并限制用户可访问的会话和工具。

同一绑定目标不能通过重复创建 WebSocket 渠道账号来拆分客户端；使用同一账号下的独立 Token。

停用、轮换和删除 ​

  1. 创建替代 Token 并更新业务服务的密钥配置。
  2. 让业务服务使用新 Token 建立连接，完成一次消息往返；需要用户工具时，再验证一次中断响应。
  3. 停止旧客户端连接，在 Token 管理入口停用旧 Token。
  4. 确认没有服务继续依赖旧凭证后再删除。

Token 变更不等于所有已建立的 WebSocket 连接立即断开，HTTP 鉴权也可能存在短暂缓存。需要立即停止整个账号的访问时，先评估影响，再停用渠道账号，并核对连接和消息处理状态；这会影响该账号下的所有客户端。不要通过仅删除本地密钥来宣称远端访问已终止。

限制 Token 暴露 ​

wst_ 只放在受控服务端，不嵌入浏览器、移动应用安装包、网页示例、日志或版本控制。面向浏览器的业务界面通过你自己的后端访问 Bridge，由后端完成用户鉴权和权限检查。

HTTP 使用 Authorization: Bearer；WebSocket 在握手阶段使用 Authorization Header 或带 Base64URL 编码凭证的子协议。Base64URL 不是加密。不要把 Token 放入 URL 查询参数。参见鉴权协议。