Agent中如何实现第三方鉴权？

本页原始导出仅包含标题。以下内容依据章节主题补充为工程实践指南；涉及具体项目参数时，请以实际代码与配置为准。

本章目标

让 Agent 在调用地图、票务等第三方服务时安全使用用户授权，而不把凭据暴露给模型。

核心设计

• 凭据与提示词隔离
• OAuth/API Key 生命周期管理
• 最小权限和调用审计

落地步骤

1. 模型只选择工具和业务参数，执行层注入凭据
2. Token 加密存储并支持刷新、吊销和过期处理
3. 日志记录凭据引用而非明文

常见风险

• 把 API Key 放进 system prompt
• 多用户共用缓存造成凭据串用
• 重试时重复触发有副作用的接口

验收标准

实现完成后，应能用可复现的测试或运行轨迹证明：主流程结果正确，异常路径能够安全终止或恢复，权限和敏感信息没有越界，并且关键延迟、成本与失败原因可以被观测。