登录账号与管理访问令牌

本页说明如何登录网页、为 CLI 授权，以及管理供脚本使用的 API Token。网页会话、CLI 保存的凭据和技能执行时所需的第三方密钥是不同的对象；创建 SkillHub Token 不会给技能自动注入外部服务凭据。

选择登录方式

打开实例的 /login 页面，使用实际提供的入口：

入口	使用条件	成功后的结果
用户名和密码	实例启用了本地密码登录，且已有账号	建立网页会话
注册账号	实例允许自助注册	填写用户名、密码和邮箱，成功后建立会话
企业或第三方登录	实例配置了对应认证方式	完成外部身份认证后返回 SkillHub

没有注册按钮不一定是页面故障。登录页读取本地认证能力和可用外部登录方式；管理员关闭密码登录或自助注册后，对应入口会变化。不要套用另一实例的登录流程，也不要将“可接入企业认证”理解为已经配置了所有供应商。

登录成功不等于具备发布或管理权限。是否能访问命名空间、发布技能、处理审核，仍由账号状态、平台角色、空间成员关系和资源可见性决定，见命名空间管理。

为 CLI 授权

先让 CLI 指向要使用的实例，再登录：

skillhub login --registry https://skillhub.example.com
skillhub whoami --registry https://skillhub.example.com

skillhub login 先按命令行、环境变量、当前注册中心保存记录的优先级读取 Token；只有没有读取到 Token 时才进入设备授权。已有但无效的 Token 不会自动回退到设备授权。按照终端显示的网址和设备码，在浏览器确认授权；远程终端可加 --no-open，自行打开网址。授权完成后用 whoami 检查身份。

CLI 凭据按注册中心保存。切换 --registry 或 SKILLHUB_REGISTRY 后，原实例的登录不会自动变成新实例的登录。仅在网页中登录也不会直接替代 CLI 凭据。

需要自动化时可以使用 API Token。将真实值交给运行环境的密钥管理方式，不写进技能包、项目源码、截图或共享日志。CLI 参数与环境变量优先级见 CLI 使用参考。

创建 API Token

1. 登录网页，打开 API Token 管理页 /dashboard/tokens。
2. 新建 Token，填写便于识别用途的名称。页面会检查空名称、超过 64 个字符及当前列表页可见的重复名称。
3. 选择不过期、7 天、30 天、90 天或自定义到期时间；自定义时间必须有效且在未来。
4. 创建成功后立即复制并妥善保存完整值。关闭创建结果后，列表只提供名称、前缀、创建时间、到期时间和最近使用时间等摘要，不提供完整 Token 的再次查看。
5. 在目标客户端配置凭据，再通过 skillhub whoami 验证实例和身份。

Token 代表所属账号进行请求，不会绕过该账号的资源权限。页面创建弹窗不提供任意角色授予功能。

更新到期时间与撤销

在 Token 列表可以调整到期时间或撤销指定 Token。修改有效期后核对列表显示；撤销后，仍使用旧值的客户端需要更换凭据。

如果完整值丢失，不要尝试从列表前缀恢复它；使用新的唯一名称创建凭据并更新客户端，确认不再使用旧值后撤销旧 Token。服务端同名创建属于轮换，会先撤销同名活动 Token；不能依赖当前分页的重名提示保证旧凭据仍可用。如果疑似泄露，应及时撤销对应 Token，并排查使用范围。

# 只退出当前指定注册中心的 CLI 登录
skillhub logout --registry https://skillhub.example.com

logout 删除该注册中心的本地保存凭据，不等于从服务端撤销所有 API Token，也不会删除已安装技能。若环境变量仍提供 Token，后续命令仍可能使用该环境变量；排查时同时核对凭据来源。

找回密码与修改密码的区别

忘记密码时，从登录页进入 /reset-password，填写账号邮箱并请求验证码，再提交邮箱、验证码和新密码。该网页流程依赖实例的邮件配置；页面显示已提交验证码请求不等于邮件一定已送达，也不能据此确认某邮箱已注册。

另有要求当前登录身份与原密码的修改密码接口 /api/v1/auth/local/change-password。它与邮箱验证码找回流程不同；不要将“所有密码变更都必须邮箱验证码”作为接口限制。企业身份账号的外部密码应按其认证提供方的流程处理。

部署中的 BOOTSTRAP_ADMIN_PASSWORD 用于初始化凭证，不能重置已经存在的管理员密码。邮件配置见 SMTP 操作说明。

常见问题

现象	检查顺序
网页已登录，CLI 仍提示未认证	核对注册中心；执行 CLI 登录和 whoami，不要将浏览器 Cookie 当作 CLI Token
CLI 登录后仍使用错误账号	检查命令行 Token、SKILLHUB_TOKEN 和该注册中心保存的凭据优先级
Token 不能调用某接口	检查是否过期/撤销、账号及资源权限、Token 的使用范围；保留公开错误信息和 requestId
找回密码收不到邮件	核对邮箱、垃圾邮件、实例 SMTP 配置和服务日志；不要反复请求来绕过限流
登录成功后又回到登录页	检查后续身份请求、Cookie、代理和会话配置，不通过清空数据库排障

请求协助时提供实例版本、操作入口、错误信息和 requestId，不要附完整 Token、验证码、密码或 Cookie。