# 地址、身份与权限 公开 REST 基址是 `https://api.hostanagent.com/v1`；远程配置 MCP 是 `https://api.hostanagent.com/mcp`。网站账号登录位于 `https://hostanagent.com/console/`。网站 Cookie、MCP OAuth token 和产品服务器保存的应用 Key 分别用于不同入口。 ## 使用应用 Key 产品后端在控制台签发受限 Key，REST 请求使用 Bearer 身份，并从自身已验证的产品登录态设置 Subject。普通浏览器不接触 Key。建议文本接入仅选目标 Agent 的 `runtime:read`、`runtime:write`；有工具时再选 `tools:execute`。配置读取与写入分别使用 `configuration:read`、`configuration:write`，彼此不隐含。 | 范围 | 允许访问的内容 | 额外限制 | |---|---|---| | `runtime:read` | 运行发现、会话/Run/诊断读取 | 账号、应用、Subject、Agent 范围均检查 | | `runtime:write` | 创建会话和 Run、追加输入、停止、审批 | 仍需可启动 Agent、版本和模型费用条件 | | `tools:execute` | 工具领取与回执、执行器生命周期 | 还需工具 grant 和产品业务授权 | | `configuration:read` | Agent/工具集/绑定配置、模型目录与校验 | 限定 Agent 的 Key 不可借此读取全局共享配置 | | `configuration:write` | 在授权范围内修改并发布配置 | 不自动获得 read，限定 Agent 的 Key 不能扩大共享范围 | 个人余额、账单和平台管理员功能不因任意应用 Key scope 自动开放。网页账号会话由同域名的 HttpOnly Cookie 管理，不能直接用于公开 API。MCP token 使用独立 OAuth 授权，只能访问配置工具。[Key 管理](/docs/console/api-keys/)、[MCP](/docs/mcp/quickstart/)。 无效、过期或撤销 Key 通常返回 401；有身份却缺 scope/Agent/Subject 权限返回 403 或对隔离资源返回 404。登录过期先重新认证，权限不足先核对用户、scope 和产品 ACL，不通过更换 Subject 自行提权。参见[错误与限制](/docs/reference/errors-limits/)。