API 令牌
API 令牌是被控端或自动化工具接入 Manager 时使用的凭据。每个登录用户都可以在账户 → API 令牌页面自行管理。
用途
- 被控端注册：被控端使用个人令牌连接 Manager，并将设备归属绑定到当前账户（见设备访问授权）。
- 自动化与集成：脚本或外部系统使用令牌访问 Manager API。
移动端被控端：自动签发
移动端（Android）以账号密码登录后开启被控端时，无需手动创建令牌：客户端会自动调用 POST /api/tokens 签发并保存一枚个人令牌，用它连接 Manager 信令、注册设备并绑定设备所有者。没有此令牌时，Manager 无法识别设备归属，也就无法纳管。
- 令牌按用户签发（非按设备），可在本页查看；自动签发的主机令牌名称会带上设备信息（形如
mobile-host · 厂商 型号），便于辨认哪枚令牌属于哪台设备。 - 在本页吊销该令牌后，尚未证明过该凭据的被控端可尝试一次自动重签；已经建立过 使用 Manager 凭据的被控端不会在后台静默更换凭据，而是先关闭相关会话，等待令牌更新或人工重试。
- 自动重签每轮最多一次：若新签发的令牌同样被拒（例如会话已失效、或令牌数量已满导致签不出来），被控端会停止自动重连并在界面上显示提示 + 「重试」按钮，避免反复签发消耗令牌配额。
- 移动端登出会清除本地缓存的令牌。
- 达到数量上限时：自动签发会停止并提示「API 令牌已满」。此时可在移动端列出已有令牌、删除不再使用的以腾出名额（删除后自动续签），或直接粘贴一枚已有的完整令牌继续使用。
数量限制（配额）
每个用户可持有的 API 令牌数量有上限，与「设备数配额」共用同一阈值（系统参数 device.quota.default，默认 5）。
- 计数包含所有未过期的令牌——启用与禁用都各占一个名额；只有删除令牌（或其自然过期）才会释放名额，禁用并不释放。
- 达到上限后创建会被拒绝（返回业务错误码，HTTP 仍为 200，页面就地提示原因）。
- 开源信令服务器不设此上限，因此只有连接 Manager 时才会受到这一限制。
管理令牌
在账户 → API 令牌页：
- 创建新令牌（注意妥善保存，通常只在创建时展示一次）。
- 查看已有令牌列表与状态。
- 启用 / 禁用令牌；禁用会让相关被控端进入可恢复暂停，因此会先弹出确认。
- 删除不再使用的令牌 —— 只有删除才会释放配额名额。
在线会话、暂停与轮换
- 删除令牌、令牌到期，或账号进入不可恢复的删除阶段后，相关会话会开始失效。正常约 90 秒内断开；即使通知丢失，最迟 3 分钟内也会由被控端本地凭据租约自行拆除。
- 禁用令牌、暂时禁用账号或进入可取消的删除冷静期，会立即拆除已判定失效的会话，但 被控端会保留原令牌并逐渐延长重试间隔；恢复后最长约 330 秒自动重新连接，也可 通过“重试”立即探测。
- Manager 后端短暂不可用时，已建立的会话可以在 120 秒的本地凭据有效期内继续；新建远程桌面或 终端会暂时被拒并由控制端按 2/5/10/20 秒相邻间隔自动重试，累计 37 秒后转为人工重试。
- 在被控端替换 Manager API 令牌会建立新的凭据范围。新令牌的验证结果不会延长旧令牌 建立的会话；旧会话最迟在 120 秒内断开，且不会自动恢复。
安全建议
- 一处一令牌，便于按用途吊销。
- 不要把令牌写入日志、截图或提交到代码仓。
- 怀疑泄露立即吊销并重建。