创建和管理 API Token

API Token 是什么

微矩阵 API Token 以 mp_ 开头，用于识别调用者、账号归属和允许执行的操作。它不是登录密码，也不是公众号 AppSecret。浏览器后台使用登录会话，CLI、MCP 和服务端脚本使用 API Token。

创建 Token

1. 1登录后打开“系统设置”中的API Token。
2. 2点击“生成新 Token”，填写便于识别的名称，例如“MacBook CLI”或“内容 Agent 生产环境”。
3. 3选择永不过期、30 天、90 天或自定义有效期。生产环境建议使用明确的过期时间。
4. 4生成后立即复制 Token，并保存到系统钥匙串、密码管理器或 Secret 管理器。
5. 5关闭提示前确认已经保存。明文 Token 关闭后无法再次查看，只能删除并重新创建。

配置环境变量

CLI 和脚本最简单的授权方式是使用环境变量。以下命令只在当前终端会话中生效：

export WEMATRIX_BASE_URL="https://mp.lingxiaoyao.cn"
export WEMATRIX_TOKEN="mp_xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx"

wematrix context
wematrix accounts

运行 wematrix login 会把配置写入权限为 0600 的私有文件；口令不是必填项。设置 WEMATRIX_CONFIG_PASSPHRASE 后，Token 会额外使用 AES-256-GCM 加密，后续读取同一配置时需要提供同一个口令。也可以不保存配置，只在单次任务中使用环境变量。

# 浏览器授权：签发包含全部 scope 的 CLI Token
wematrix login --base-url https://mp.lingxiaoyao.cn

# 无法自动打开浏览器时
wematrix login --base-url https://mp.lingxiaoyao.cn --no-browser

权限 Scope

后台设置页手动创建 Token 和浏览器 CLI 授权签发的 Token 默认都包含表中的全部六项 scope。调用每个接口前，服务端都会检查对应 Scope；正式发布仍需要 publish:write、显式确认和符合微信接口资格的已认证公众号：

撤销与轮换

1. 1先创建新 Token，并在目标 CLI、MCP 或服务端环境中替换旧 Token。
2. 2运行 wematrix context 或调用 GET /api/open/agent/context，确认新 Token 可用。
3. 3回到 API Token 页面删除旧 Token。删除后，使用旧 Token 的调用会立即失败。
4. 4检查自动化任务和日志，确认没有遗漏仍在使用旧 Token 的环境。