Authentifizierung

Das Copilot SDK unterstützt mehrere Authentifizierungsmethoden. Wählen Sie die für Ihren Anwendungsfall passende aus.

Authentifizierungsmethoden

Methode	Hauptanwendung	Copilot-Abonnement	Anmerkungen
GitHub-Login (CLI)	Entwicklung / manuelle Ausführung	Erforderlich	Nutzt die Anmeldedaten der `copilot`-CLI
OAuth GitHub App / PAT	Nutzerspezifische Tokens	Erforderlich	Wird über `github_token` angegeben
Umgebungsvariablen	CI/CD, Server-Betrieb	Erforderlich	`COPILOT_GITHUB_TOKEN` u. a.
BYOK (Bring Your Own Key)	Eigener Model-Provider	Nicht erforderlich	Custom-Provider-Konfiguration
Microsoft Entra ID	Integrierte Anmeldung	Entra-App-Registrierung erforderlich	Identifiziert die Host-App über `entra.clientId`

Zu BYOK siehe Custom providers.

Microsoft Entra ID

Um die integrierte Microsoft-Entra-Anmeldung und Token-Aktualisierung zu nutzen, registrieren Sie Ihre Host-Anwendung beim Client. Setzen Sie clientId auf die Anwendungs-ID (Client-ID) Ihrer Entra-App-Registrierung. Sie können eine EntraAuthConfig-Instanz oder ein Array übergeben. Leere Werte und Werte, die nur aus Leerzeichen bestehen, lösen eine InvalidArgumentException aus.

use Revolution\Copilot\Facades\Copilot;
use Revolution\Copilot\Types\EntraAuthConfig;

Copilot::useStdio([
    'entra' => new EntraAuthConfig(clientId: config('services.entra.client_id')),
])->run(prompt: 'Hello');
Copilot::stop();

Sie können auch ein Array übergeben:

Copilot::useStdio([
    'entra' => ['clientId' => config('services.entra.client_id')],
])->run(prompt: 'Hello');
Copilot::stop();

Das SDK sendet die Client-ID während des server.connect-Handshakes an die Runtime. Diese Registrierung ist unabhängig vom Server-RPC accounts.acquireEntraToken, das explizit ein Token anfordert. Wenn Sie eine Entra-Konfiguration setzen und die Runtime zu alt ist, um connect zu unterstützen, löst das SDK This runtime does not support Entra client configuration. aus, anstatt die Einstellung stillschweigend zu verwerfen. Aktualisieren Sie in diesem Fall die Runtime. Andere Authentifizierungsmethoden funktionieren weiterhin.

Netzwerk-Callbacks

Mit der Option network können Sie die Proxy-Auflösung und die Kerberos-Negotiate-Authentifizierung der Runtime an Callbacks auf dem Host delegieren. Die verwendete Copilot-Runtime muss das RPC network.setProvider unterstützen. Andernfalls löst der Client beim Start eine Exception aus, die Sie auffordert, die Runtime zu aktualisieren. Jeder Callback erhält den Request-Typ und ein CancellationToken, mit dem Sie auf einen Abbruch prüfen können.

use Revolution\Copilot\Facades\Copilot;
use Revolution\Copilot\Support\CancellationToken;
use Revolution\Copilot\Types\Rpc\NetworkAuthenticateNegotiateRequest;
use Revolution\Copilot\Types\Rpc\NetworkResolveProxyRequest;

Copilot::useStdio([
    'network' => [
        'scope' => 'runtime',
        'resolveProxy' => function (NetworkResolveProxyRequest $request, CancellationToken $signal) use ($proxyResolver): ?string {
            return $proxyResolver->resolve($request->url, $signal);
        },
        'authenticateNegotiate' => function (NetworkAuthenticateNegotiateRequest $request, CancellationToken $signal) use ($credentials): ?string {
            return $credentials->acquire($request->spn, $signal);
        },
    ],
])->run(prompt: 'Hello');
Copilot::stop();

resolveProxy gibt einen PAC-artigen String wie PROXY proxy.example:8080; DIRECT zurück oder DIRECT für eine direkte Verbindung. Geben Sie null zurück, damit die Runtime den Proxy selbst auflöst. authenticateNegotiate gibt ein einmalig verwendbares base64-SPNEGO-Token ohne das Präfix Negotiate zurück oder null, wenn keine Anmeldedaten verfügbar sind. Wenn ein Callback eine Exception wirft, schlägt das RPC fehl, und es erfolgt kein Fallback auf eine direkte Verbindung. Prüfen Sie den SPN, bevor Sie Anmeldedaten ausstellen. scope ist standardmäßig connection und deckt nur Requests aus Sessions ab, die dieser Client erstellt oder fortgesetzt hat. runtime deckt zusätzlich die gemeinsame Hintergrundkommunikation ab, allerdings kann nur eine Verbindung gleichzeitig diesen Scope halten. Wenn Sie mit der copilot- oder gh-CLI angemeldet sind und nichts angeben, werden die gespeicherten Anmeldedaten verwendet.

use Revolution\Copilot\Facades\Copilot;

$response = Copilot::run(prompt: 'Hello');

OAuth GitHub App / PAT

Übergeben Sie ein über den OAuth-Flow erhaltenes User-Access-Token oder ein Fine-grained PAT an github_token.

Erwartet werden gho_ / ghu_ / github_pat_
ghp_ (Classic PAT) wird nicht empfohlen

use Revolution\Copilot\Facades\Copilot;

$config = array_merge(config('copilot'), [
    'github_token' => $user->github_token,
]);

$response = Copilot::useStdio($config)->run(prompt: '...');
Copilot::stop();

Wenn Sie github_token angeben, wird use_logged_in_user automatisch auf false gesetzt. Um dies explizit umzuschalten, gehen Sie wie folgt vor.

$config = [
    'github_token' => $user->github_token,
    'use_logged_in_user' => true,
];

Details siehe GitHub token. github_token und use_logged_in_user sind nur im stdio-Modus verfügbar. Im TCP-Modus muss die Copilot-CLI bereits authentifiziert sein.

Vom Host erzeugte Secrets maskieren

Wenn Ihre Host-Anwendung Tokens dynamisch bezieht, etwa über MCP OAuth, registrieren Sie diese beim Redaction-Filter der Copilot-CLI. Die CLI maskiert registrierte Werte in Session-Logs und Exporten.

use Revolution\Copilot\Facades\Copilot;

$accessToken = $oauthProvider->getAccessToken();

Copilot::client()->rpc()->secrets()->addFilterValues([
    'values' => [$accessToken],
]);

Dieser Aufruf ist unabhängig vom Beziehen und Übergeben von Tokens mit onMcpAuthRequest. Rufen Sie ihn explizit auf, nachdem Sie ein Token erhalten haben. Das SDK speichert die Werte nicht dauerhaft und protokolliert sie für dieses RPC auch nicht separat.

Umgebungsvariablen

Wenn Sie das Token über Umgebungsvariablen übergeben, erkennt die CLI dies automatisch. Die Priorität ist von oben nach unten wie folgt.

COPILOT_GITHUB_TOKEN
GH_TOKEN
GITHUB_TOKEN

COPILOT_GITHUB_TOKEN=github_pat_xxx

use Revolution\Copilot\Facades\Copilot;

$response = Copilot::run(prompt: 'Hello');

Konfigurieren Sie im TCP-Modus die Umgebungsvariablen auf der CLI-Serverseite.

Priorität der Authentifizierung

Das SDK löst Anmeldedaten in folgender Reihenfolge auf.

github_token (explizit angegeben)
Umgebungsvariablen-Token (COPILOT_GITHUB_TOKEN → GH_TOKEN → GITHUB_TOKEN)
In der CLI gespeicherte OAuth-Anmeldedaten
Anmeldedaten der gh-CLI

Um gespeicherte Anmeldedaten nicht zu verwenden, setzen Sie use_logged_in_user auf false. Bei false wird zur Authentifizierung nur das explizit angegebene Token (github_token) verwendet. Tokens aus Umgebungsvariablen (COPILOT_GITHUB_TOKEN, GH_TOKEN, GITHUB_TOKEN) werden ignoriert.

use Revolution\Copilot\Facades\Copilot;

$response = Copilot::useStdio([
    'use_logged_in_user' => false,
])->run(prompt: 'Hello');

Wie github_token wird auch dies nur im stdio-Modus unterstützt. Im TCP-Modus muss die Copilot-CLI bereits authentifiziert sein.

Authentifizierungsstatus prüfen

Sie können den Status über das Ergebnis von auth.getStatus abrufen.

use Revolution\Copilot\Facades\Copilot;

$status = Copilot::client()->getAuthStatus();

if (! $status->isAuthenticated) {
    // Nicht authentifiziert
}

Konto für die interaktive Anmeldung auswählen

Listen Sie loginAccounts über das Session-RPC auf, um die gespeicherten Identitäten zu erhalten, die Sie bei einem bestimmten Anbieter wiederverwenden können. Das label jedes Eintrags dient der Anzeige, und active gibt an, ob die Identität dem aktiven Konto der aktuellen Session entspricht. accountId ist eine opake ID, die dem Anbieter gehört. Übergeben Sie sie unverändert an die Login-Anfrage, ohne sie zu parsen oder zu verändern.

use Revolution\Copilot\Enums\AuthLoginMode;
use Revolution\Copilot\Enums\LoginProviderKind;
use Revolution\Copilot\Types\Rpc\AuthLoginBeginRequest;

$accounts = $session->rpc()->accounts();
$identities = $accounts->enumerate(
    'loginAccounts',
    provider: LoginProviderKind::ENTRA,
);

if (isset($identities[0])) {
    $accounts->begin(new AuthLoginBeginRequest(
        kind: LoginProviderKind::ENTRA,
        mode: AuthLoginMode::Default,
        accountId: $identities[0]->accountId,
    ));
}

Verwenden Sie mode: 'default', um eine gespeicherte Identität mit dem normalen Verhalten des Anbieters wiederzuverwenden. Verwenden Sie mode: 'selectAccount', um explizit die Kontoauswahl des Anbieters anzuzeigen. Übergeben Sie in diesem Fall kein accountId. Bestehende Aufrufe wie begin(LoginProviderKind::ENTRA) funktionieren weiterhin.

Aktuelle Informationen finden Sie im GitHub-Repository.

GitHub Copilot

SDK

AI SDK

VOICEVOX

Starter Kits

Feeds und RSS

Middleware

Authentifizierung - GitHub Copilot SDK für Laravel

Authentifizierung

Authentifizierungsmethoden

Microsoft Entra ID

Netzwerk-Callbacks

OAuth GitHub App / PAT

Vom Host erzeugte Secrets maskieren

Umgebungsvariablen

Priorität der Authentifizierung

Authentifizierungsstatus prüfen

Konto für die interaktive Anmeldung auswählen

​Authentifizierung

​Authentifizierungsmethoden

​Microsoft Entra ID

​Netzwerk-Callbacks

​GitHub-Login (CLI)

​OAuth GitHub App / PAT

​Vom Host erzeugte Secrets maskieren

​Umgebungsvariablen

​Priorität der Authentifizierung

​Automatisches Login deaktivieren

​Authentifizierungsstatus prüfen

​Konto für die interaktive Anmeldung auswählen

Authentifizierung

Authentifizierungsmethoden

Microsoft Entra ID

Netzwerk-Callbacks

GitHub-Login (CLI)

OAuth GitHub App / PAT

Vom Host erzeugte Secrets maskieren

Umgebungsvariablen

Priorität der Authentifizierung

Automatisches Login deaktivieren

Authentifizierungsstatus prüfen

Konto für die interaktive Anmeldung auswählen