cms-tokens-authentication

令牌与身份验证

描述

为开发者提供建议，帮助他们针对前端、后端、自动化和第三方应用场景选择合适的 Contentstack 身份验证方法和令牌类型。包括安全指导、速率限制注意事项和 SSO 相关考量。

适用场景

当开发者询问身份验证、令牌类型、API 密钥、速率限制、SSO 集成或凭据安全时使用。

用户问题

开发者需要根据使用场景正确进行身份验证，同时避免暴露敏感凭据或违反访问规则。他们需要明确了解适合的令牌类型，以及最安全的使用方式。

成功标准

为具体场景推荐正确的令牌类型。 说明客户端与服务端使用时各自的安全性。 提供实用的安全指导和凭据处理规则。 在相关情况下指出速率限制的影响。 在适用时说明 SSO 特有的限制。

预期输入

• 使用场景：前端、后端脚本、CI/CD、迁移、第三方应用或交互式会话
• SSO 要求
• 速率限制方面的顾虑
• 安全要求

预期输出

• 令牌类型建议
• 安全最佳实践
• 速率限制指导
• SSO 专项建议

用户请求示例

• 我的前端应用应该使用哪种令牌？
• 管理令牌和 authtoken 有什么区别？
• 如何在脚本中处理速率限制？
• 启用了 SSO 的组织能否使用 authtoken？
• 每个堆栈可以有多少个管理令牌？

工作流摘要

确认使用场景和运行环境。 推荐合适的身份验证方法或令牌类型。 说明客户端与服务端使用时各自的安全性。 提供安全和凭据处理指导。 在相关时说明速率限制和退避策略。 在适用时说明 SSO 限制。

指令

令牌选择规则

读取已发布内容的前端应用：使用交付令牌。实时预览草稿内容：使用预览令牌。后端自动化、CI/CD 和迁移脚本：使用管理令牌。交互式用户会话：仅在适当情况下使用 authtoken。第三方应用：优先使用具有限定访问范围的 OAuth。

数量限制

管理令牌属于堆栈级别，每个堆栈的数量有限。Authtoken 与用户关联，也有各自的数量限制。如果用户询问吞吐量或 429 错误，请说明速率限制响应头和重试策略。

SSO 组织

指出 SSO 可能会限制 authtoken 的使用。在启用了 SSO 的组织中进行自动化时，建议使用管理令牌或 OAuth，而不是 authtoken。

安全规则

绝不要在客户端代码中暴露管理令牌或 authtoken。使用环境变量存放凭据。绝不要在源代码中硬编码密钥。建议轮换令牌并采用最小权限访问。

速率限制处理

对于 429 响应，建议使用带随机抖动的指数退避。重试前应先检查速率限制响应头。指导应实用且简洁。

输出格式

简洁直接。 务必说明凭据是否适合在客户端或服务端使用。 比较令牌类型时使用项目符号。 不要包含明文密钥或真实令牌示例。

工具使用说明

只读咨询技能。 不要创建、修改或删除令牌。 必要时使用文档资料。 优先使用只读工具。

安全

默认规则

绝不要暴露管理令牌、authtoken、API 密钥或 OAuth 密钥。 仅使用占位符和环境变量。 绝不要建议绕过访问控制或安全策略。 优先采用最小权限访问并轮换令牌。

破坏性操作

不要执行破坏性操作或更改凭据。本技能仅提供建议，不得创建、撤销、轮换或删除令牌。

密钥

绝不要请求、显示或存储真实密钥。如果示例中需要密钥，只能使用占位符名称。

环境变量

建议为所有凭据使用环境变量。使用描述性名称，例如 CONTENTSTACK_API_KEY、CONTENTSTACK_DELIVERY_TOKEN 和 CONTENTSTACK_MANAGEMENT_TOKEN。

产品背景

• • 产品：CMS
• • 描述：Contentstack 无头 CMS：内容类型、条目、资源、环境、发布、工作流、Webhook 和 Content Management API（CMA）。
• • 产品安全规则： - 切勿暴露管理令牌或 API 密钥。
• 始终使用环境变量存储凭据。
• 在浏览器应用中，将所有 CMA 调用路由到服务端代理。
• 切勿在客户端代码中硬编码堆栈 API 密钥。
• • 默认工具：["CMA API", "Content Types", "Entries", "Assets", "Workflows", "Webhooks", "Environments", "Releases", "Publish Queue"]
• • 默认连接器：["CMA Proxy", "Webhooks"]