Cli Auth Via Endpoint

Archived: 2026-08-19 · roadmap-id: cli-auth

Why

cli-auth 已落地并通过真机验收，但登录必须先自己配一个环境变量：

export AGENTDOCK_AUTH_ANON_KEY=<公开 anon key>   # 否则 login 直接报 PROVIDER_NOT_CONFIGURED

原因是 CLI 直连 PostgREST 调 cogito.consume_device_auth，而 PostgREST 要 apikey。把这个 key 内置进包的三个代价（会打红 agentdock 的 secrets 门 / 轮换即坏 / provider 抽象被撑大）在 cli-auth 的记录里已经论证过，这里不重复。

thefoolai 侧的对侧接缝已经建好了：POST /api/device-auth/consume（thefoolai PR #199 已合并 main，含生产构建实跑与一次性消费语义的反向对照）。本刀把 CLI 切过去。

切过去之后：

• provider = 一个 base URL，不再是「URL + key + RPC 名 + schema 头」
• 包内零密钥，secrets 门不用开任何白名单
• 服务端可以演进流程而不必发 CLI 新版

Non-goals

• 不改登录流程本身：device_code 生成、开浏览器、轮询节奏（2s / 5 分钟上限）、凭据存储与权限位，全部不动
• 不改 electron 客户端：它直连 RPC 且工作正常，迁移是独立决策
• 不做 token 刷新 / 续期：本刀只换传输通道
• 不动 auth 的命令形状