Untuk klien yang tidak boleh log masuk melalui pelayar.

Pintu masuk mana yang sesuai untuk anda

Hanya ada satu endpoint, https://letsweft.com/api/mcp, dan dua cara untuk membuktikan siapa anda.

• OAuth — cara lalai, dan cara yang lebih baik. Klien anda mendaftarkan dirinya sendiri, anda log masuk sekali dalam pelayar, dan tiada rahsia yang ditulis ke dalam fail konfigurasi. Claude, ChatGPT, Cursor, VS Code, Kimi Code CLI dan kebanyakan klien lain menggunakan cara ini. Jika klien anda menyediakannya, tak perlu baca lagi: anda tidak memerlukan token.
• Token akses — untuk klien yang sokongan MCP-nya hanyalah sebuah URL dan sebuah header. DeepSeek Harness, Trae, Qoder, CodeBuddy, iFlow CLI semuanya tergolong dalam kumpulan ini.

Menjana token

Buka Tetapan → Token akses.

Berikan nama yang masih anda kenali enam bulan dari sekarang — "Trae pada laptop", bukan "token 2" — dan pilih tempoh luput: 30, 90 atau 365 hari, atau tidak pernah. Tidak pernah ialah pilihan lalai, dan itu disengajakan: kelayakan yang mati secara senyap di tengah-tengah larian lebih menyusahkan ejen berbanding kelayakan yang tahan lama. Token hanya dipaparkan sekali. Weft hanya menyimpan hash token itu, jadi tiada halaman, permintaan sokongan atau pertanyaan pangkalan data yang boleh memaparkannya semula kepada anda.

Ia diletakkan dalam header Authorization , di sebelah endpoint: Authorization: Bearer wft_…. Setiap halaman klien memaparkan arahan atau fail konfigurasi yang tepat untuk klien tersebut.

Apa yang boleh dilakukan oleh token

Semua yang boleh dilakukan oleh akaun anda: membaca papan, mencipta dan memindahkan tugasan, menjalankan sprint, merekodkan keputusan — kesemua 32 alat MCP, merentasi seluruh ruang kerja anda. Belum ada skop kebenaran lagi, jadi token baca sahaja belum boleh dicipta buat masa ini. Jagalah token ini seperti kata laluan anda. Itu juga yang dituntut oleh spesifikasi token pembawa daripada setiap klien: RFC 6750 mentakrifkan token pembawa sebagai kelayakan yang boleh digunakan oleh sesiapa sahaja yang memegangnya, menyatakan bahawa ia mesti dilindungi daripada didedahkan, dan memberi amaran supaya tidak meletakkannya dalam URL halaman. Jauhkan juga token daripada log: OWASP mengesyorkan agar token akses dibuang atau disamarkan dalam data aplikasi yang direkodkan.

Apa yang tidak boleh dilakukannya ialah log masuk ke laman web, menukar pengebilan anda, atau mencapai mana-mana ruang kerja yang anda bukan ahlinya.

Membatalkan token, dan memastikan ia berjaya

Batalkan token dari panel yang sama. Ia berkuat kuasa pada panggilan seterusnya — tiada kelewatan penyebaran, tiada tempoh tangguh dalam cache — dan panggilan yang telah dibuat oleh token itu kekal dalam sejarah anda, tidak lenyap bersamanya. Batalkan token apabila mesin hilang, apabila laptop dibawa keluar dari syarikat, apabila token telah ditampal di tempat yang tidak sepatutnya, atau sekadar apabila anda berhenti menggunakan sesuatu klien.

Setiap token dalam senarai memaparkan bila ia terakhir digunakan. Baris itulah ujian jujur sama ada klien bersambung: klien yang disediakan dengan betul tetapi tidak pernah memanggil alat akan memaparkan tidak pernah digunakan, dan konfigurasi yang nampak betul tetapi tidak pernah sampai kepada kami juga memaparkan perkara yang sama. Jika pembantu anda mengatakan ia tidak dapat melihat papan anda, semak baris itu dahulu.