Osobiste tokeny dostępu

Każde żądanie do REST API niesie osobisty token dostępu jako bearer token. Token należy do jednej osoby i działa z rolą tej osoby.

W przeglądarce: Profil i tokeny API → Tokeny API (/profile#tokens).

1. Wpisz nazwę wskazującą, gdzie token jest używany, na przykład „Skribly Agent” lub „CI”.
2. Wybierz uprawnienia:
   • Odczyt i zapis: uprawnienia read i write. Wymagane przez Skribly Agent oraz do publikowania komentarzy z agent-skills.
   • Tylko odczyt: uprawnienie read. Wystarcza do pobierania zgłoszeń.
3. Opcjonalnie ustaw datę wygaśnięcia.
4. Skopiuj token. Jest wyświetlany tylko raz.

Z wiersza poleceń na serwerze:

docker compose exec app php artisan tracker:token you@example.com "Skribly Agent"
docker compose exec app php artisan tracker:token you@example.com ci --read-only

Token wygląda tak: 1| i 40 znaków.

Token nigdy nie może zrobić więcej niż jego właściciel:

Endpointy, które zmieniają dane, wymagają uprawnienia write. Usunięcie zgłoszenia wymaga ponadto, by właściciel był administratorem albo zgłaszającym to zgłoszenie. Żądanie, na które nie pozwala uprawnienie tokenu lub rola właściciela, zwraca 403.

export TRACKER=http://localhost:8100/api/v1
export TOKEN='1|…'
curl -H "Authorization: Bearer $TOKEN" -H "Accept: application/json" "$TRACKER/me"

GET /me zwraca właściciela i uprawnienia tokenu:

{ "data": { "id": 1, "name": "Ada Example", "email": "ada@example.com", "role": "admin", "locale": "en", "abilities": ["read", "write"] } }

• Nigdy nie commituj tokenu, nie wklejaj go do czatu ani do .tasks/.
• Daj każdemu narzędziu własny token, żeby móc unieważnić jeden bez psucia pozostałych.
• Używaj tokenów tylko do odczytu wszędzie tam, gdzie nic nie trzeba zmieniać.
• Ustawiaj datę wygaśnięcia tokenom na wspólnych komputerach i w CI.
• Unieważnij token na stronie profilu, gdy tylko podejrzewasz wyciek.

Żądania bez tokenu lub z tokenem unieważnionym albo wygasłym zwracają 401. Więcej niż 240 żądań na minutę od jednego użytkownika zwraca 429.

Dla całego ekosystemu planowane są krótkotrwałe tokeny dla aplikacji i agentów, ograniczone do wybranych projektów i działań i widoczne jako bot. Zobacz Architektura ekosystemu.