UI 蓝图/开放平台 · 自动化/Bot Token 与运行凭证

TARGETF4B2 PARTIALQA 0/5 VERIFIEDR08 · 9/21 PASS COMPLETEAdmin · 创建、轮换、撤销和调查机器人运行凭证的安全管理员与运行 owner

Bot Token 与运行凭证

Token 只显示一次且服务端只存 hash；按用途拆 scope、期限和 last-used，并优先由 ServicePrincipal 交换短期凭证

/robot/token/:idminiapp-open-platform

R08 · KNIFE 9 / 21

Bot Token 与运行凭证 · 页面级细化任务包

替换旧页面直接回显/复制完整 Robot.token 与立即重置的危险交互，建立只显示一次、hash/KMS、scope、expiry、双窗口轮换与撤销证据。

LEGACY / TARGET ROUTE

legacy source route @a86af60；生产无 credential service → /robot/token/:id

ENTRY

从 Bot identity 或运行主体进入；OpenSDK `obot_<hex32>` 只是客户端格式合同，20 仓审计未找到签发服务端。

SUCCESS OUTPUT

返回 one-time secret result、rotation 或 revocation receipt；列表永远只返回 credential ID/fingerprint/prefix。

COMMAND MODEL

Prefer workload exchange；compat credential: create → one-time reveal → overlap/observe → revoke predecessor；泄漏场景立即撤销。

RESPONSIVE + A11Y

桌面 policy + credential index + detail；手机先显示用途/scope/expiry/status，完整 secret 只在一次性全屏结果出现。

TELEMETRY

credential_index_view · create_submit · rotate_submit · revoke_submit；不记录 secret、token prefix 全值、assertion 或 IP 原文。

LEGACY SOURCE + CURRENT PRODUCTIONa86af60 / e50cb8a / 404

2026-07-17 认证遍历 Gitea `reits` 组织共 20 个仓库；精确 `/openapi/v1/bot/*` 服务端实现数为 0
xtalk-open-source main@a86af60 含旧 React 机器人 UI 与 `/api/bots/*` 客户端合同，但没有部署证据
miniapp-open-platform source fa9283d / production fb1a1b：`developer_apps.kind=bot` 只是通用 App 字段，没有 Bot/Installation/Command/Credential/Event/Delivery 表或 handler
opensdk main@e50cb8a 提供 6 个 Bot 客户端路径、HMAC-SHA256 验签、5 分钟窗口与 1 MiB body 上限；go test/vet 通过
im-core origin/main@9849051 仍只提供 `/im/chat/create_bot` 的 typ=11 会话壳；最新提交只推进 iOS QA handoff，公网 Bot OpenAPI 探测仍为 404
reits-auth source/production@157b859 没有 Bot resource authorization、ServicePrincipal 或 workload exchange
legacy Token 页把 `robot.token` 填入只读 TextArea 并提供复制，reset 后旧 token 立即失效
OpenSDK 每次请求发送 Bearer token；没有 scope/expiry/revocation server evidence

IMPLEMENTATION GAPTARGET ONLY

生产没有 BotCredential 表、签发/轮换/撤销 API 或 KMS reference
没有 workload exchange、scope、expiry、last-used、successor 或异常使用证据
旧 token re-display/copy 是安全缺陷，不能作为目标 UI 复刻

63-STATE PROGRAM / THIS SCREEN

七页分别改变身份、配置、命令、凭证与交付证据边界

QA 0 / 5 VERIFIED

READY凭证安全合同可以评审

legacy risk + target credential policy

BOT-CREDENTIAL-READY→ 查看凭证迁移合同

LOADING正在读取脱敏凭证元数据

credential metadata / activity

BOT-CREDENTIAL-LOAD→ 返回机器人资料

EMPTY生产尚无 Bot 凭证服务

credential index

BOT-CREDENTIAL-NO-SERVICE→ 定义凭证后端

PARTIAL ERROR凭证元数据可用，使用证据未知

last-used / exchange evidence

BOT-CREDENTIAL-ACTIVITY-PARTIAL→ 重试活动证据

ERROR凭证操作未完成

credential command

BOT-CREDENTIAL-COMMAND-FAILED→ 确认命令状态

OFFLINE离线只看脱敏凭证清单

redacted credential snapshot

BOT-CREDENTIAL-OFFLINE→ 重新连接

FORBIDDEN没有管理 Bot 凭证的权限

bot.credential.manage

BOT-CREDENTIAL-DENY→ 申请凭证权限

CONFIRM执行凭证高风险命令？

create/rotate/revoke command

BOT-CREDENTIAL-CONFIRM→ 确认凭证命令

SUCCESS凭证命令已完成

one-time secret / receipt

BOT-CREDENTIAL-UPDATED→ 确认已安全保存

UI STUDIOtarget-open-bot-tokens

Admin1440 × 900100%

100%

/robot/token/:id

TARGET UI1440 × 900FIT 100%

R08 DESIGN CANDIDATE · target-open-bot-tokens · TARGET ONLY · PROD BOT API 404

BOT CREDENTIALS · LEGACY SECURITY CORRECTION

Token 与运行凭证

旧页面把完整 robot.token 放入 TextArea 并允许复制，重置后旧值立即失效；R08 明确禁止复刻，目标列表只返回脱敏元数据。

对象DisplayScopesLast usedExpires状态

!Legacy Robot.tokenlegacy sourcefull value re-displayedno scopesunknownunknownUNSAFE

SOpenSDK BearerSDK contractobot_<hex32> formatcontractunknownunknownNO SERVER

TBotCredentialtarget modelfingerprint onlyscopedtargettargetTARGET

REFERENCE VIEWPORT1440 × 900Desktop first · responsive

PRIMARY TASK创建 scoped token主操作、权限与完成反馈必须同屏可验证

DATA CONTRACTBotCredentialIndexready / loading / empty / error 使用同一 fixture

ACCESSIBILITYKeyboard + WCAG AA焦点顺序、可读名称、对比度进入 UI CI

VISUAL BASELINETARGET · 2026-07-17桌面/移动、浅色/错误态按稳定 Screen ID 留档

IMPLEMENTATION MAP

目标定义与下一轮逐页细化入口

当前处于 B1/B2：可以拆出架构、设计、交互和 QA 任务，但完成 D01–D12、通过 B3/B4 之前，不得宣称页面已经可以照稿实现。

01

页面区域

机器人与环境上下文
凭证任务头
工作负载身份提示
Token 表格
凭证详情
Scope 与期限
轮换计划
撤销与审计

02

用户动作

创建 scoped token
配置 token exchange
查看使用审计
轮换凭证
立即撤销
导出脱敏清单
调查异常使用

03

必须状态

凭证目录就绪
凭证与使用活动加载
尚无运行凭证
last-used 部分失败
凭证操作失败
离线只读目录
缺少 bot.credential:manage
创建/轮换/撤销确认
凭证变更已记录

04

数据契约

BotCredentialIndex
BotCredential
CredentialScope
CredentialHash
ServicePrincipalTokenExchange
CredentialRotation
CredentialRevocation
AuditReceipt

TARGET MODULES

目标页面必须交付的模块

01凭证策略提示
02Token 目录
03遮罩 prefix
04有效 scopes
05创建者/last-used/expiry
06双 token 轮换
07立即撤销
08使用审计

PRODUCT ROUTE INDEX

开放平台 · 自动化的 38 个稳定 Screen ID

同一产品内的页面共享 token、导航和状态语言，但每个 Screen ID 保留自己的字段、数据契约和 QA 基线。

开发者登录/login

我的小程序/apps

创建小程序/apps/new

应用发布/apps/:id/publish

应用索引与控制面健康/apps

三步创建应用/apps/new

上传、审核与原子发布/apps/:appId/releases/new

应用基本信息与生命周期/apps/:appId/settings

环境、回调与凭证/apps/:appId/config

版本历史、对比与回滚/apps/:appId/versions

接口、Scope 与使用量/apps/:appId/capabilities

能力申请与审核/apps/:appId/capability-requests

组织目录与企业边界/mini-company/list

创建与验证企业/mini-company/create

开发治理概览/console/development

开发者身份与资源关系/console/developer

成员、邀请与离职治理/console/member

角色、策略与有效权限/console/role

服务账号与工作负载身份/console/service-accounts

操作、授权与安全审计/console/log

机器人目录与运行健康/robot/list

创建机器人与最小授权/robot/create

机器人基本信息与生命周期/robot/baseInfo/:id

事件订阅与开发配置/robot/devConfig/:id

命令定义、权限与测试/robot/command/:id

Bot Token 与运行凭证/robot/token/:id

事件交付、重试与 Redelivery/robot/:id/deliveries

支付订单与资金生命周期/mini/:type/paymentOrders/:id

用户数据、授权与主体请求/mini/:type/userData/:id

支付能力申请与独立复核/mini/:type/payApply/:id

组织财务、结算与对账/console/finance

公共开发者首页与能力总览/

Mini App 产品、Quickstart 与宿主边界/mini

企业开发与组织治理介绍/mini-company

机器人、命令与事件自动化介绍/robot

商业合作、场景准入与能力边界/business

平台公告、变更影响与订阅中心/notice

个人账号、安全、授权与偏好中心/console/my

← 命令定义、权限与测试事件交付、重试与 Redelivery →