账号与安全
本文说明连接器的授权机制、权限边界、请求限额与隐私策略。简单总结：
你不需要把密码交给 AI。 授权走标准 OAuth 2.1 流程，连接器只能读取公开数据，随时可以一键断开。
授权机制
连接器遵循 MCP 的 OAuth 2.1 授权流程，与「用微信 / QQ 登录第三方网站」是同一套安全标准：
- 动态注册：AI 客户端首次连接时自动向服务端注册身份（RFC 7591），无需你手动配置客户端 ID 或密钥。
- 跳转登录：客户端引导你到闪耀船首网站的授权页；未登录时会先跳转登录页，登录后自动回到授权页。
- 明确同意：授权页会展示是哪个客户端在请求访问，点击**「允许访问」**后才颁发令牌。
- 安全加固：
- 全程使用 PKCE（S256） 防止授权码被截获冒用；
- 授权页带一次性 CSRF 令牌，防止跨站请求伪造；
- 授权码只能使用一次，兑换令牌后立即作废；
- 颁发的访问令牌有效期为 1 小时，到期后客户端用刷新令牌自动续期，无需重新登录；
- 刷新令牌轮换机制：每次刷新后旧令牌作废。
权限边界
连接器是严格的只读服务：
| 可以做 | 不能做 |
|---|---|
| 搜索 / 查看公开配装 | 发布、修改、删除任何配装 |
| 查询图鉴数据（13 类条目） | 修改你的账户资料 |
| 查看掉宝活动与赛季日历 | 读取服务器配置、密钥或内部文件 |
| 查询站点功能目录 | 代表你发帖或执行任何写操作 |
几点补充：
- 私有内容不可见：搜索只能返回公开且未设密码的配装；私有配装仅作者本人可读。
- 管理功能隔离：「掉宝通知记录」工具需要站点管理员权限，普通账户调用会直接返回权限错误。
- 令牌与网站登录相互独立：连接器令牌只能调用 MCP 查询接口，无法用它登录网站或操作你的账户。
- 服务端不提供任何文件读取、命令执行类工具，注入类攻击载荷（如路径遍历、shell 元字符）不会得到非公开数据。
管理已授权的连接器
登录闪耀船首网站后，进入：
账户 → 安全中心 → 平台绑定 → AI 连接器
在这里可以：
- 查看连接器地址：一键复制
https://api.glow-prow.top/api/mcp； - 查看授权状态：哪些客户端已获得授权；
- 断开授权：点击断开后刷新令牌立即失效，客户端无法再获取新的访问令牌；已颁发的访问令牌为无状态凭证，最长 1 小时内自然过期，之后彻底无法使用。
如果更换了 AI 助手或不再使用，建议在这里断开对应授权。
请求限额
为防止滥用，连接器按 10 分钟窗口限流（未携带访问令牌的请求在限流之前就会被 401 拒绝，因此限额只对已授权调用生效）：
| 账户类型 | 限额（每 10 分钟） |
|---|---|
| 免费账户 | 150 次 |
| 订阅者 | 1,000 次 |
| 站点管理员 | 不限量 |
限额按账户计算，正常对话远远用不完这些额度——一次典型的「查个配装」只产生几次请求。如果看到限额提示，稍等片刻即可恢复。
隐私说明
- 看不到你的对话：连接器只接收 AI 客户端转来的工具调用请求，无法读取你与 AI 的聊天内容。
- 不收集额外信息：服务端仅记录必要的调用日志（时间、工具名、账户/IP），用于限额统计与故障排查。
- 数据最小化：查询结果只包含公开数据；私有内容、账户凭据、服务器配置不会出现在任何响应中。
- 断开即失效：授权断开后，相关刷新令牌立即删除，客户端无法再获取新的访问令牌（已颁发的访问令牌最长 1 小时内过期）。
出现问题？
- 授权后仍提示需要认证：在「平台绑定 → AI 连接器」确认授权存在，然后重试；必要时断开后重新授权。
- 提示超出请求限额：等待 10 分钟窗口重置，或查看上文限额表。
- 怀疑授权被滥用：立即在「平台绑定」中断开该连接器，并到「安全中心」检查账户登录状态。