认证授权

rpicx API 根据接口用途采用不同认证策略。具体要求以 API 参考中每个 Endpoint 的 Security 定义为准。

公开接口

注册、登录、公开配置、套餐与健康检查等接口无需 Bearer Token。

Bearer Token

登录成功后，将访问令牌放入 Authorization 请求头：

Authorization: Bearer <access_token>

不要通过 URL 参数传递令牌，避免将其写入浏览器历史、代理日志或 Referer。

令牌续期

使用 Refresh Token 调用令牌刷新接口，服务端返回新令牌。Refresh Token 应视为凭证妥善保管，不要在客户端日志中输出。

项目接口

对象存储接入平台接口（project）支持两种鉴权方式：登录会话（Authorization: Bearer <JWT>）或项目级 API Key（X-API-Key，pk_live_ 前缀）。接口按项目角色 owner / admin / developer / viewer 分级，API Key 仅可用于 viewer / developer 级接口。

内网接口

边缘节点 Agent 的内网接口（internal）需在请求头携带 X-Agent-Secret，仅限服务端内部调用。

OAuth

GitHub 或 Google OAuth 是否可用取决于服务端配置。认证方式可通过公开认证方式接口查询。