为 Figena CLI 认证

概述

Figena CLI 支持两类凭据，每个 profile 分别保存：

• 浏览器登录，用于你自己完成的工作。智能体、运行记录、规范、知识库、控制台和 OpenPort 审批都需要它。
• Agent Key，用于 CI 任务等自动化流程。OpenPort 数据命令需要它：manifest、workspaces、transactions、preflight、action 和 draft get。

通过浏览器登录

1. 1运行 figena auth login。profile 需要有 API 地址，可以来自 figena config init 或 --api-base-url 选项。
2. 2CLI 会在默认浏览器中打开授权页面，并在终端输出页面地址和一个代码。
3. 3确认页面上的代码与终端中的一致，然后批准请求。
4. 4CLI 每隔几秒检查一次授权结果，成功后输出“Logged in as”和你的邮箱地址。

Open this URL to sign in to Figena CLI:<approval URL>Code: <code>Waiting for approval...

登录请求的有效期由服务器决定，通常约 10 分钟。请求被拒绝时，CLI 会以“CLI authorization was denied”结束；请求过期或已被使用时，提示“CLI authorization expired or was already used”；无人及时批准时，提示“CLI authorization timed out”。重新运行 figena auth login 即可。

为自动化流程使用 Agent Key

自动化流程不应依赖某个人的浏览器会话。请使用工作区管理员为工作区签发的 Agent Key，有两种用法：

figena auth login --agent-key <agent-key>

保存时，密钥会存进当前 profile，并输出“Stored Agent Key for profile”和 profile 名称。使用环境变量时，密钥不会写入磁盘，适合在运行时注入密钥的 CI 系统。两者同时存在时，以环境变量为准。

查看状态、刷新和退出登录

• figena auth status 显示 profile、是否已认证、凭据类型（user 或 service）、登录用户，以及有哪些凭据来源可用。
• figena auth refresh 用保存的刷新令牌换取新凭据，只适用于浏览器登录。
• figena auth logout 删除该 profile 保存的凭据，但不会取消终端中的 FIGENA_AGENT_KEY。

{  "ok": true,  "code": "common.success",  "data": {    "profile": "production",    "authenticated": true,    "authType": "user",    "user": { "id": "<user-id>", "email": "you@example.com" },    "sources": { "storedUserToken": true, "storedAgentKey": false, "envAgentKey": false }  }}

凭据保存在哪里

CLI 把文件保存在主目录下的 .figena 文件夹：config.json 保存 profile，credentials.json 保存登录信息和 Agent Key。设置 FIGENA_HOME 可以改用其他文件夹。CLI 创建文件夹和文件时，只允许你自己的用户访问；figena doctor 会报告已有文件是否仍然私有。