身份验证

选择正确的身份入口

各类身份相互独立。登录平台不会自动授予每个模型、工具或远程机器权限；调用费用与数据处理要求按实际服务确认。

登录并检查当前上下文

• 通过应用账号入口完成浏览器登录。
• 回到应用后核对当前账号和可见资源。
• 涉及组织与费用管理时进入 Lime Cloud Console。
• 切换账号后重新核对插件目录、连接和可用模型，避免沿用上一账号结果。

连接模型服务

从管理员或提供商取得服务地址、认证方式和模型标识。在模型服务设置完成连接，再用不含敏感数据的小任务验证文本与工具能力。

• 只配置该提供商支持的凭据类型，不把平台账号令牌当作通用模型密钥。
• 自动化使用专门身份和最小权限凭据，避免复制个人浏览器会话到不可信运行器。
• 网关入口的认证、模型映射和限额由网关维护方提供。

保护账号和凭据

• 身份服务支持时启用多因素身份验证，遵循组织单点登录策略。
• 使用私密凭据入口，不把密钥放入聊天、仓库、工单或截图。
• 导出配置和诊断前检查脱敏结果。
• 限制本地应用数据读取权限，登录缓存同样需要保护。

理解会话和凭据存储

平台登录、模型认证和插件授权分别有自己的生命周期。应用能启动不证明全部连接已登录；模型调用成功也不证明平台组织与费用上下文正确。

排查时检查应用显示的连接状态、所选提供商和脱敏错误。不要套用其他客户端的登录缓存路径或存储配置，不收集整个用户配置目录。

受管设备上的身份边界

设备管理员约束执行权限，平台管理员管理身份和成员范围，模型服务维护方管理 API 权限。三者分别验证；客户端沙盒和项目指令不能代替组织成员与角色管理。

排查 TLS 与无头连接

• 企业代理或私有 CA 网络中，向管理员取得可信证书与标准连接方法，不关闭证书校验。
• 无界面自动化采用实际服务支持的专用凭据。
• 远程 App Server 使用安全 WebSocket，通过私密环境入口提供令牌。
• 连接被拒绝时记录错误码、时间、版本和目标类别，隐藏令牌与用户数据。

退出、轮换与撤销

退出应用、删除本地连接和撤销服务令牌是不同操作。确定要终止哪个会话；遗失设备或凭据泄露时，在签发服务撤销或轮换，并验证旧连接失效。