地址、身份与权限
公开 REST 基址是 https://api.hostanagent.com/v1；远程配置 MCP 是 https://api.hostanagent.com/mcp。网站账号登录位于 https://hostanagent.com/console/。网站 Cookie、MCP OAuth token 和产品服务器保存的应用 Key 分别用于不同入口。
使用应用 Key
产品后端在控制台签发受限 Key，REST 请求使用 Bearer 身份，并从自身已验证的产品登录态设置 Subject。普通浏览器不接触 Key。建议文本接入仅选目标 Agent 的 runtime:read、runtime:write；有工具时再选 tools:execute。配置读取与写入分别使用 configuration:read、configuration:write，彼此不隐含。
| 范围 | 允许访问的内容 | 额外限制 |
|---|---|---|
runtime:read |
运行发现、会话/Run/诊断读取 | 账号、应用、Subject、Agent 范围均检查 |
runtime:write |
创建会话和 Run、追加输入、停止、审批 | 仍需可启动 Agent、版本和模型费用条件 |
tools:execute |
工具领取与回执、执行器生命周期 | 还需工具 grant 和产品业务授权 |
configuration:read |
Agent/工具集/绑定配置、模型目录与校验 | 限定 Agent 的 Key 不可借此读取全局共享配置 |
configuration:write |
在授权范围内修改并发布配置 | 不自动获得 read，限定 Agent 的 Key 不能扩大共享范围 |
个人余额、账单和平台管理员功能不因任意应用 Key scope 自动开放。网页账号会话由同域名的 HttpOnly Cookie 管理，不能直接用于公开 API。MCP token 使用独立 OAuth 授权，只能访问配置工具。Key 管理、MCP。
无效、过期或撤销 Key 通常返回 401；有身份却缺 scope/Agent/Subject 权限返回 403 或对隔离资源返回 404。登录过期先重新认证，权限不足先核对用户、scope 和产品 ACL，不通过更换 Subject 自行提权。参见错误与限制。