给无法在浏览器里登录的客户端。
多数 AI 客户端通过 OAuth 连接 Weft，从不接触任何密钥。有些客户端根本没有 OAuth——它们只认一个地址加一个请求头，认证就这么多。这一页讲的就是那个请求头。
Weft 是为独立创业者和小团队打造的 AI 任务管理工具。
你该走哪扇门
端点只有一个， https://letsweft.com/api/mcp，而证明你是谁的方式有两种。
- OAuth — 默认的那种，也是更好的那种。客户端自己注册，你在浏览器里登录一次，任何密钥都不会被写进配置文件。Claude、ChatGPT、Cursor、VS Code、Kimi Code CLI 以及大多数客户端都走这条路。如果你的客户端支持，读到这里就可以停了：你不需要令牌。
- 访问令牌 — 给那些 MCP 支持就是“一个地址加一个请求头”的客户端。 DeepSeek Harness, Trae, Qoder, CodeBuddy, iFlow CLI 都属于这一类。
生成一个
打开 设置 → 访问令牌.
起一个半年后你还认得出的名字——“笔记本上的 Trae”，而不是“令牌 2”——再选有效期：30 天、90 天、365 天，或者永不过期。默认是永不过期，这是有意的：一个在任务跑到一半时悄悄失效的凭据，比长期有效的更坑智能体。令牌只显示一次。Weft 只保存它的哈希，所以没有任何页面、任何工单、任何数据库查询能再把它取出来。
它放在 Authorization 请求头里，和端点写在一起： Authorization: Bearer wft_…。每个客户端页面都给出那个客户端的确切命令或配置文件。
令牌能做什么
你的账号能做的它都能做：读看板、建任务、挪任务、跑迭代、记录决策——全部 32 个 MCP 工具，覆盖你整个工作区。目前还没有权限范围，所以今天做不出只读令牌。请像对待密码一样对待它。
它不能做的：登录网站、改你的账单，或者访问任何你不是成员的工作区。
吊销，并确认吊销生效
在同一个面板里吊销。下一次调用即刻生效——没有传播延迟，也没有缓存宽限期——而这个令牌此前做过的调用仍留在历史里，不会跟着一起消失。机器丢了、笔记本离开公司、令牌被贴到了不该贴的地方，或者你干脆不再用某个客户端，都该吊销。
列表里每个令牌都显示最近一次使用的时间。这一行是判断客户端有没有连上的老实标准：配置正确但从没调用过工具的客户端显示 从未使用，而看起来没问题、实际却从没到达我们这里的配置，显示的也是同一句。如果你的助手说看不到看板，先看这一行。