轮换 JWT 签名密钥

[
  {
    "id": "3JtcPZ3AZJFyvBvSkJUia0N7wqo",
    "is_primary": true,
    "created_at_micros": 1790000000000000,
    "retired_at_micros": null
  }
]

[
  {
    "id": "3JtcPZ3AZJFyvBvSkJUia0N7wqo",
    "is_primary": true,
    "created_at_micros": 1790000000000000,
    "retired_at_micros": null
  }
]

两个路由都需要具备 sys.settings.manage 的系统范围会话，组织范围的 Token 会收到 403。通过选择工作区选择 _sys 组织，即可获得系统范围的 Token。

列出签名密钥

GET /api/v1/auth/jwt/secrets

返回签名密钥的元数据，原始密钥字节永远不会返回。

[
  {
    "id": "3JtcPZ3AZJFyvBvSkJUia0N7wqo",
    "is_primary": true,
    "created_at_micros": 1790000000000000,
    "retired_at_micros": null
  }
]

POST /api/v1/auth/jwt/rotate

创建新的主密钥，并退役之前的主密钥。新的 Token 用新密钥签发，用已退役密钥签发的 Token 在退役后的 24 小时内仍然有效。

{
  "new_kid": "<new-key-id>",
  "retired_kid": "<previous-key-id>",
  "active_count": 2
}

active_count 是当前用于验证 Token 的密钥数量。用 MS_AUTH_JWT_SECRET_OVERRIDE 固定签名密钥的部署，遵循自己的轮换策略，参见安全与多租户。

最后修改于 2026年10月9日