Autenticazione

Copilot SDK supporta più metodi di autenticazione. Scegli quello adatto al tuo caso d’uso.

Metodi di autenticazione

Metodo	Uso principale	Abbonamento Copilot	Note
Login GitHub (CLI)	Sviluppo · esecuzione manuale	Richiesto	Usa le credenziali di login del CLI `copilot`
OAuth GitHub App / PAT	Token per singolo utente	Richiesto	Specificato tramite `github_token`
Variabili d’ambiente	CI/CD · uso lato server	Richiesto	`COPILOT_GITHUB_TOKEN` ecc.
BYOK (Bring Your Own Key)	Provider di modelli proprio	Non richiesto	Configurazione di un provider personalizzato
Microsoft Entra ID	Accesso integrato	Richiede una registrazione dell’app Entra	Identifica l’app host con `entra.clientId`

Per BYOK consulta Custom providers.

Microsoft Entra ID

Per usare l’accesso Microsoft Entra integrato e il rinnovo dei token, registra la tua applicazione host presso il client. Imposta clientId sull’ID applicazione (client) della registrazione della tua app Entra. Puoi passare un’istanza di EntraAuthConfig oppure un array. I valori vuoti o composti solo da spazi generano una InvalidArgumentException.

use Revolution\Copilot\Facades\Copilot;
use Revolution\Copilot\Types\EntraAuthConfig;

Copilot::useStdio([
    'entra' => new EntraAuthConfig(clientId: config('services.entra.client_id')),
])->run(prompt: 'Hello');
Copilot::stop();

Puoi anche passare un array:

Copilot::useStdio([
    'entra' => ['clientId' => config('services.entra.client_id')],
])->run(prompt: 'Hello');
Copilot::stop();

L’SDK invia l’ID client al runtime durante l’handshake server.connect. Questa registrazione è separata dall’RPC server accounts.acquireEntraToken, che richiede un token in modo esplicito. Se imposti una configurazione Entra e il runtime è troppo vecchio per supportare connect, l’SDK genera This runtime does not support Entra client configuration. invece di ignorare silenziosamente l’impostazione. In tal caso aggiorna il runtime. Gli altri metodi di autenticazione continuano a funzionare.

Callback di rete

Con l’opzione network puoi delegare la risoluzione del proxy e l’autenticazione Kerberos Negotiate del runtime a callback sull’host. Il runtime Copilot utilizzato deve supportare l’RPC network.setProvider. In caso contrario, il client lancia all’avvio un’eccezione che ti invita ad aggiornare il runtime. Ogni callback riceve il tipo di richiesta e un CancellationToken con cui puoi verificare l’annullamento.

use Revolution\Copilot\Facades\Copilot;
use Revolution\Copilot\Support\CancellationToken;
use Revolution\Copilot\Types\Rpc\NetworkAuthenticateNegotiateRequest;
use Revolution\Copilot\Types\Rpc\NetworkResolveProxyRequest;

Copilot::useStdio([
    'network' => [
        'scope' => 'runtime',
        'resolveProxy' => function (NetworkResolveProxyRequest $request, CancellationToken $signal) use ($proxyResolver): ?string {
            return $proxyResolver->resolve($request->url, $signal);
        },
        'authenticateNegotiate' => function (NetworkAuthenticateNegotiateRequest $request, CancellationToken $signal) use ($credentials): ?string {
            return $credentials->acquire($request->spn, $signal);
        },
    ],
])->run(prompt: 'Hello');
Copilot::stop();

resolveProxy restituisce una stringa in stile PAC come PROXY proxy.example:8080; DIRECT, oppure DIRECT per una connessione diretta. Restituisci null per lasciare che sia il runtime a risolvere il proxy. authenticateNegotiate restituisce un token SPNEGO in base64 monouso senza il prefisso Negotiate , oppure null quando non sono disponibili credenziali. Se una callback lancia un’eccezione, l’RPC fallisce e non viene effettuato il fallback a una connessione diretta. Convalida l’SPN prima di emettere le credenziali. scope è connection per impostazione predefinita e copre solo le richieste delle sessioni create o riprese da questo client. runtime copre anche le comunicazioni condivise in background, ma solo una connessione alla volta può detenere questo scope. Se sei già loggato con il CLI copilot o gh e non specifichi nulla, vengono usate le credenziali salvate.

use Revolution\Copilot\Facades\Copilot;

$response = Copilot::run(prompt: 'Hello');

OAuth GitHub App / PAT

Passa a github_token il token di accesso utente ottenuto tramite flusso OAuth oppure un PAT fine-grained.

Sono attesi gho_ / ghu_ / github_pat_
ghp_ (Classic PAT) è deprecato

use Revolution\Copilot\Facades\Copilot;

$config = array_merge(config('copilot'), [
    'github_token' => $user->github_token,
]);

$response = Copilot::useStdio($config)->run(prompt: '...');
Copilot::stop();

Specificando github_token, use_logged_in_user viene impostato automaticamente a false. Se vuoi cambiarlo esplicitamente, procedi così.

$config = [
    'github_token' => $user->github_token,
    'use_logged_in_user' => true,
];

Per i dettagli consulta GitHub token. github_token e use_logged_in_user sono disponibili solo in modalità stdio. In modalità TCP la Copilot CLI deve essere già autenticata.

Mascherare i segreti generati dall’host

Se la tua applicazione host ottiene token in modo dinamico, ad esempio tramite MCP OAuth, registrali nel filtro di oscuramento della Copilot CLI. La CLI maschera i valori registrati nei log e nelle esportazioni delle sessioni.

use Revolution\Copilot\Facades\Copilot;

$accessToken = $oauthProvider->getAccessToken();

Copilot::client()->rpc()->secrets()->addFilterValues([
    'values' => [$accessToken],
]);

Questa chiamata è separata dall’ottenimento e dal passaggio dei token con onMcpAuthRequest. Chiamala esplicitamente dopo aver ottenuto un token. L’SDK non rende persistenti i valori né li registra separatamente nei log per questo RPC.

Variabili d’ambiente

Se passi il token tramite variabili d’ambiente, la CLI lo rileva automaticamente. L’ordine di priorità è dal primo all’ultimo.

COPILOT_GITHUB_TOKEN
GH_TOKEN
GITHUB_TOKEN

COPILOT_GITHUB_TOKEN=github_pat_xxx

use Revolution\Copilot\Facades\Copilot;

$response = Copilot::run(prompt: 'Hello');

In modalità TCP imposta le variabili d’ambiente sul server CLI.

Priorità dell’autenticazione

L’SDK risolve le credenziali nel seguente ordine.

github_token (specificato esplicitamente)
Token da variabile d’ambiente (COPILOT_GITHUB_TOKEN → GH_TOKEN → GITHUB_TOKEN)
Credenziali OAuth salvate dalla CLI
Credenziali del CLI gh

Se non vuoi usare le credenziali salvate, imposta use_logged_in_user a false. Con false, per l’autenticazione viene usato solo il token specificato esplicitamente (github_token). I token delle variabili d’ambiente (COPILOT_GITHUB_TOKEN, GH_TOKEN, GITHUB_TOKEN) vengono ignorati.

use Revolution\Copilot\Facades\Copilot;

$response = Copilot::useStdio([
    'use_logged_in_user' => false,
])->run(prompt: 'Hello');

Come github_token, è supportato solo in modalità stdio. In modalità TCP la Copilot CLI deve essere già autenticata.

Verifica dello stato di autenticazione

Puoi verificarlo ottenendo il risultato di auth.getStatus.

use Revolution\Copilot\Facades\Copilot;

$status = Copilot::client()->getAuthStatus();

if (! $status->isAuthenticated) {
    // Non autenticato
}

Enumera loginAccounts tramite la RPC di sessione per ottenere le identità salvate che puoi riutilizzare con un determinato provider. Il label di ogni elemento serve per la visualizzazione, mentre active indica se l’identità corrisponde all’account attivo della sessione corrente. accountId è un ID opaco di proprietà del provider. Passalo così com’è alla richiesta di login, senza analizzarlo né modificarlo.

use Revolution\Copilot\Enums\AuthLoginMode;
use Revolution\Copilot\Enums\LoginProviderKind;
use Revolution\Copilot\Types\Rpc\AuthLoginBeginRequest;

$accounts = $session->rpc()->accounts();
$identities = $accounts->enumerate(
    'loginAccounts',
    provider: LoginProviderKind::ENTRA,
);

if (isset($identities[0])) {
    $accounts->begin(new AuthLoginBeginRequest(
        kind: LoginProviderKind::ENTRA,
        mode: AuthLoginMode::Default,
        accountId: $identities[0]->accountId,
    ));
}

Usa mode: 'default' per riutilizzare un’identità salvata con il comportamento normale del provider. Usa mode: 'selectAccount' per mostrare esplicitamente il selettore di account del provider. In questo caso, non passare accountId. Le chiamate esistenti come begin(LoginProviderKind::ENTRA) continuano a funzionare.

Per le informazioni più recenti fai riferimento al repository GitHub.

GitHub Copilot

SDK

AI SDK

VOICEVOX

Starter kit

Feed e RSS

Middleware

Autenticazione - GitHub Copilot SDK for Laravel

Autenticazione

Metodi di autenticazione

Microsoft Entra ID

Callback di rete

OAuth GitHub App / PAT

Mascherare i segreti generati dall’host

Variabili d’ambiente

Priorità dell’autenticazione

Verifica dello stato di autenticazione

​Autenticazione

​Metodi di autenticazione

​Microsoft Entra ID

​Callback di rete

​Login GitHub (CLI)

​OAuth GitHub App / PAT

​Mascherare i segreti generati dall’host

​Variabili d’ambiente

​Priorità dell’autenticazione

​Disabilitare il login automatico

​Verifica dello stato di autenticazione

​Selezionare un account per il login interattivo

Autenticazione

Metodi di autenticazione

Microsoft Entra ID

Callback di rete

Login GitHub (CLI)

OAuth GitHub App / PAT

Mascherare i segreti generati dall’host

Variabili d’ambiente

Priorità dell’autenticazione

Disabilitare il login automatico

Verifica dello stato di autenticazione

Selezionare un account per il login interattivo