Autenticación

Copilot SDK admite varios métodos de autenticación. Elige el que mejor se adapte a tu caso de uso.

Métodos de autenticación

Método	Uso principal	¿Requiere suscripción a Copilot?	Notas
Login con GitHub (CLI)	Desarrollo y ejecución manual	Sí	Usa las credenciales de login del CLI `copilot`
OAuth GitHub App / PAT	Token por usuario	Sí	Se indica con `github_token`
Variables de entorno	CI/CD y operación en servidor	Sí	`COPILOT_GITHUB_TOKEN`, etc.
BYOK (Bring Your Own Key)	Proveedor de modelo propio	No	Configuración de custom provider
Microsoft Entra ID	Inicio de sesión integrado	Requiere un registro de aplicación de Entra	Identifica la app host con `entra.clientId`

Para BYOK consulta Custom providers.

Microsoft Entra ID

Para usar el inicio de sesión integrado de Microsoft Entra y la renovación de tokens, registra tu aplicación host en el cliente. Asigna a clientId el ID de aplicación (cliente) de tu registro de aplicación de Entra. Puedes pasar una instancia de EntraAuthConfig o un array. Los valores vacíos o que solo contienen espacios lanzan una InvalidArgumentException.

use Revolution\Copilot\Facades\Copilot;
use Revolution\Copilot\Types\EntraAuthConfig;

Copilot::useStdio([
    'entra' => new EntraAuthConfig(clientId: config('services.entra.client_id')),
])->run(prompt: 'Hello');
Copilot::stop();

También puedes pasar un array:

Copilot::useStdio([
    'entra' => ['clientId' => config('services.entra.client_id')],
])->run(prompt: 'Hello');
Copilot::stop();

El SDK envía el client ID al runtime durante el handshake server.connect. Este registro es independiente de la RPC de servidor accounts.acquireEntraToken, que solicita un token explícitamente. Si configuras Entra y el runtime es demasiado antiguo para admitir connect, el SDK lanza This runtime does not support Entra client configuration. en lugar de descartar la configuración en silencio. En ese caso, actualiza el runtime. Los demás métodos de autenticación siguen funcionando.

Callbacks de red

Con la opción network puedes delegar la resolución de proxy y la autenticación Kerberos Negotiate del runtime a callbacks en el host. El runtime de Copilot que utilices debe admitir el RPC network.setProvider. Si no lo admite, el cliente lanza una excepción al iniciarse que te pide actualizar el runtime. Cada callback recibe el tipo de solicitud y un CancellationToken con el que puedes comprobar la cancelación.

use Revolution\Copilot\Facades\Copilot;
use Revolution\Copilot\Support\CancellationToken;
use Revolution\Copilot\Types\Rpc\NetworkAuthenticateNegotiateRequest;
use Revolution\Copilot\Types\Rpc\NetworkResolveProxyRequest;

Copilot::useStdio([
    'network' => [
        'scope' => 'runtime',
        'resolveProxy' => function (NetworkResolveProxyRequest $request, CancellationToken $signal) use ($proxyResolver): ?string {
            return $proxyResolver->resolve($request->url, $signal);
        },
        'authenticateNegotiate' => function (NetworkAuthenticateNegotiateRequest $request, CancellationToken $signal) use ($credentials): ?string {
            return $credentials->acquire($request->spn, $signal);
        },
    ],
])->run(prompt: 'Hello');
Copilot::stop();

resolveProxy devuelve una cadena de estilo PAC como PROXY proxy.example:8080; DIRECT, o DIRECT para una conexión directa. Devuelve null para que el runtime resuelva el proxy por sí mismo. authenticateNegotiate devuelve un token SPNEGO en base64 de un solo uso sin el prefijo Negotiate , o null cuando no hay credenciales disponibles. Si un callback lanza una excepción, el RPC falla y no se recurre a una conexión directa. Valida el SPN antes de emitir credenciales. scope es connection por defecto, que solo cubre las solicitudes de las sesiones que este cliente creó o reanudó. runtime cubre también la comunicación compartida en segundo plano, pero solo una conexión a la vez puede tener este scope. Si has hecho login con el CLI copilot o con gh, cuando no especificas nada se usan las credenciales guardadas.

use Revolution\Copilot\Facades\Copilot;

$response = Copilot::run(prompt: 'Hello');

OAuth GitHub App / PAT

Pasa a github_token un user access token obtenido con OAuth o un fine-grained PAT.

Se esperan tokens gho_ / ghu_ / github_pat_
ghp_ (Classic PAT) está desaconsejado

use Revolution\Copilot\Facades\Copilot;

$config = array_merge(config('copilot'), [
    'github_token' => $user->github_token,
]);

$response = Copilot::useStdio($config)->run(prompt: '...');
Copilot::stop();

Si indicas github_token, use_logged_in_user pasa automáticamente a false. Si quieres alternar explícitamente:

$config = [
    'github_token' => $user->github_token,
    'use_logged_in_user' => true,
];

Consulta GitHub token para más detalle. github_token y use_logged_in_user solo funcionan en modo stdio. En modo TCP, el CLI de Copilot debe estar ya autenticado por su cuenta.

Enmascarar secretos generados por el host

Si tu aplicación host obtiene tokens de forma dinámica, por ejemplo mediante MCP OAuth, regístralos en el filtro de redacción del CLI de Copilot. El CLI enmascara los valores registrados en los logs y las exportaciones de sesión.

use Revolution\Copilot\Facades\Copilot;

$accessToken = $oauthProvider->getAccessToken();

Copilot::client()->rpc()->secrets()->addFilterValues([
    'values' => [$accessToken],
]);

Esta llamada es independiente de obtener y pasar tokens con onMcpAuthRequest. Llámala explícitamente después de obtener un token. El SDK no persiste los valores ni los registra por separado para esta RPC.

Variables de entorno

Si pasas el token por variables de entorno, el CLI las detecta automáticamente. El orden de prioridad es de arriba a abajo:

COPILOT_GITHUB_TOKEN
GH_TOKEN
GITHUB_TOKEN

COPILOT_GITHUB_TOKEN=github_pat_xxx

use Revolution\Copilot\Facades\Copilot;

$response = Copilot::run(prompt: 'Hello');

En modo TCP configura las variables de entorno en el lado del servidor CLI.

Orden de prioridad de la autenticación

El SDK resuelve las credenciales en este orden:

github_token (indicado explícitamente)
Token por variable de entorno (COPILOT_GITHUB_TOKEN → GH_TOKEN → GITHUB_TOKEN)
Credenciales OAuth guardadas por el CLI
Credenciales del CLI gh

Si no quieres usar las credenciales guardadas, pon use_logged_in_user a false. Con false, solo se usa para autenticar el token que indicas explícitamente (github_token). Los tokens de variables de entorno (COPILOT_GITHUB_TOKEN, GH_TOKEN, GITHUB_TOKEN) se ignoran.

use Revolution\Copilot\Facades\Copilot;

$response = Copilot::useStdio([
    'use_logged_in_user' => false,
])->run(prompt: 'Hello');

Igual que con github_token, solo se admite en modo stdio. En TCP el CLI de Copilot debe estar ya autenticado.

Comprobar el estado de autenticación

Puedes consultar el resultado de auth.getStatus.

use Revolution\Copilot\Facades\Copilot;

$status = Copilot::client()->getAuthStatus();

if (! $status->isAuthenticated) {
    // No autenticado
}

Seleccionar una cuenta para el inicio de sesión interactivo

Enumera loginAccounts mediante la RPC de sesión para obtener las identidades guardadas que puedes reutilizar con un proveedor determinado. El label de cada elemento sirve para mostrarlo, y active indica si la identidad coincide con la cuenta activa de la sesión actual. accountId es un ID opaco que pertenece al proveedor. Pásalo tal cual a la solicitud de inicio de sesión, sin analizarlo ni modificarlo.

use Revolution\Copilot\Enums\AuthLoginMode;
use Revolution\Copilot\Enums\LoginProviderKind;
use Revolution\Copilot\Types\Rpc\AuthLoginBeginRequest;

$accounts = $session->rpc()->accounts();
$identities = $accounts->enumerate(
    'loginAccounts',
    provider: LoginProviderKind::ENTRA,
);

if (isset($identities[0])) {
    $accounts->begin(new AuthLoginBeginRequest(
        kind: LoginProviderKind::ENTRA,
        mode: AuthLoginMode::Default,
        accountId: $identities[0]->accountId,
    ));
}

Usa mode: 'default' para reutilizar una identidad guardada con el comportamiento normal del proveedor. Usa mode: 'selectAccount' para mostrar explícitamente el selector de cuentas del proveedor. En ese caso, no pases accountId. Las llamadas existentes como begin(LoginProviderKind::ENTRA) siguen funcionando.

Consulta la información más reciente en el repositorio de GitHub.

GitHub Copilot

SDK

AI SDK

VOICEVOX

Starter kits

Feeds y RSS

Middleware

Autenticación - GitHub Copilot SDK for Laravel

Autenticación

Métodos de autenticación

Microsoft Entra ID

Callbacks de red

OAuth GitHub App / PAT

Enmascarar secretos generados por el host

Variables de entorno

Orden de prioridad de la autenticación

Comprobar el estado de autenticación

Seleccionar una cuenta para el inicio de sesión interactivo

​Autenticación

​Métodos de autenticación

​Microsoft Entra ID

​Callbacks de red

​Login con GitHub (CLI)

​OAuth GitHub App / PAT

​Enmascarar secretos generados por el host

​Variables de entorno

​Orden de prioridad de la autenticación

​Desactivar el login automático

​Comprobar el estado de autenticación

​Seleccionar una cuenta para el inicio de sesión interactivo

Autenticación

Métodos de autenticación

Microsoft Entra ID

Callbacks de red

Login con GitHub (CLI)

OAuth GitHub App / PAT

Enmascarar secretos generados por el host

Variables de entorno

Orden de prioridad de la autenticación

Desactivar el login automático

Comprobar el estado de autenticación

Seleccionar una cuenta para el inicio de sesión interactivo