CLI 驗證 — Altifigence Documentation

使用原生 Cloud PKCE 登入，並將其工作階段與舊版 API 及 DDS 服務憑證區分開來。

Overview

請依使用的指令選擇憑證路徑。原生 Cloud 登入、舊版客戶動作憑證與操作者設定的 DDS HTTP 服務，各有獨立契約。本機 XLS 與原生工作區操作不需要 Cloud 憑證。

桌面與 CLI 憑證彼此獨立

介面	憑證路徑	授權依據
Digital Design Studio 2.0.2 Windows	透過瀏覽器登入以使用受保護的本機功能；編輯與儲存亦可在未登入的情況下運作	No My PC device licence. Free 登入支援已說明的本機功能；Cloud 與 AI 會檢查個別權限。
`alti` `ide` `cloud`	瀏覽器 PKCE 與私有 CLI 工作階段	帳戶身分與組織／專案權限由伺服器檢查
客戶動作／作業用戶端	`ALTI_TOKEN` 和 `ALTI_ORG_ID`	提供給選取 API 的憑證與範圍
`alti` `ide` `service`	設定的服務來源與 `ALTI_STUDIO_SERVICE_SECRET`	舊版服務現有的授權契約

任何 CLI 工作階段都不會授予桌面授權。請勿將桌面工作階段檔案、瀏覽器 Cookie 或內部服務標頭匯入原生 Cloud 請求。

原生 Cloud 登入

alti ide cloud login
alti ide cloud whoami
alti ide cloud refresh
alti ide cloud logout

Login 會輸出瀏覽器 PKCE 流程的授權 URL。預設使用 https://api.altifigence.com，私有工作階段目錄則位於 ~/.local/state/altifigence/cloud-cli。請一致使用 --session-dir，以選取其他工作階段。Login 也接受 --org 與有界的 --wait-seconds；後續指令使用各自的請求期限。

使用 whoami 確認伺服器身分，不要從已儲存的權杖推測。Refresh 與 logout 作用於此原生工作階段。Cloud 搜尋與終端機指令上的組織／專案 ID 用來限定請求範圍，不能授予存取權。具型別的 ide cloud run 操作保留伺服器權限檢查，且在契約帶有上傳原始碼時需要 --allow-source-upload。

CLI 透過明確的原生 API 路由連線。登入流程不承諾每個 Cloud 操作都向所有組織啟用。

CLI 讀取的環境變數

舊版客戶動作與 Cloud 作業用戶端保留以下設定：

變數	效果
`ALTI_TOKEN`	必填的 bearer 憑證；缺少或空白值會遭拒
`ALTI_ORG_ID`	必填的組織範圍
`ALTI_API_BASE`	API 基底，預設為 `https://api.altifigence.com`
`ALTI_BYO`	`1`、`true` 或 `yes` 選取自備主體類型
`ALTI_ALLOW_SOURCE_UPLOAD`	明確同意帶有原始碼的客戶 MCP 動作；未提供即拒絕

端點覆寫只能設定為您控制的服務，或帳戶明確提供的端點。變更來源可能會將對應憑證傳送至其他主機。

舊版 DDS HTTP 指令則使用 --endpoint 或 ALTI_STUDIO_ENDPOINT 與現有服務祕密環境設定。它們不重用原生 Cloud 登入，也不為該服務另行創造驗證流程。

設定狀態不是驗證

alti auth status 僅檢查舊版環境設定。其 serverVerification 仍為 not_performed；它不等同於 alti ide cloud whoami。

舊版頂層 alti login 和 alti whoami 仍會以 4 結束，並回報 AUTH_FLOW_UNAVAILABLE 和 IDENTITY_NOT_VERIFIED。頂層的 alti logout 無法清除從父程序繼承的值。請在來源清除或輪替這些值；原生工作階段請使用 ide cloud logout。

祕密處理

將 CI 憑證放在 CI 祕密儲存區，只注入需要它的步驟。
讓工作階段目錄僅供其擁有者存取；請勿加入版本控制、使用者共用快取或已發布成品。
請勿記錄權杖、服務祕密、瀏覽器 Cookie 或完整環境。
在使用憑證的指令周圍停用 shell 追蹤，並輪替任何可能進入記錄的值。

遠端 API 存取

請依選取的後端，使用具型別的作業與 Cloud 指令。用戶端驗證與成功登入不會取代伺服器端權限，也不能證明請求的作業已完成。

驗證與復原原生工作階段

alti ide cloud login
alti ide cloud whoami

以之後使用 CLI 的同一個一般 Linux 使用者執行這些指令。完成瀏覽器流程，並在工作區操作前確認有成功的 whoami 回應。若使用替代的 --session-dir，登入與後續呼叫都應使用它；不同目錄代表不同的已儲存工作階段。

如果工作階段過期，請使用原生重新整理／登入流程。如果身分驗證成功但專案遭拒，請檢查組織成員資格與專案權限。請勿從桌面複製憑證或變更 API 來源，以規避拒絕。帳戶復原請使用帳戶安全。