认证与 scope
凭证决定身份、授权和资金合同，不能跨旅程替换。
| Credential | Auth | Funding / purpose |
|---|---|---|
Personal PAYG sk-acm-… | Authorization: Bearer on /api/open/v1/* | Open API Credits pool 3; issued from the console |
| Member OAuth access token | Client.create/login, consented OAuth scopes | Member/business APIs; the SDK defaults to /api/v4 and /admin-api for compliance |
| Member delegated Key | BASIC scope and separate issuance/invocation gates | Member funds and quota; not pool 3 |
| Java Web session | Console and order queries | Own-account queries; not an execution scope substitute |
agent_access:manage 不得签入静态 Key；普通 JWT 不能回退为合规执行权限。SDK 声明15个 compliance scope，当前 OAuth 注册19个且包含这15个，静态 Key 的签发风险档与集合另行约束。数量不同不构成缺陷，必须检查包含/排除与签发者授权交集。企业筛查 COMPLETED 不等于准入批准，企业 Key 和资金合同未验收时仍关闭。
控制台只允许选择 /api/open/v1/capabilities 中 ready=true 的 scope；具体 model/profile 仍需目录和有效价约。签发、凭证有效、执行可用、价格就绪与业务验收是不同证据。
控制台余额/账单使用 Java Web session，PAYG Key 管理的 Go 登录 JWT 是另一类凭证。统一控制台代理由服务端核对两者的可信主体与租户；账号不一致先退出并重新认证，不能直接替换 token。企业 Key 须提交本人已批准的 enterpriseId。历史数字身份来源未证明时显示人工核对，不能据同数字账户取得订单或 OWNER 权限。