认证配置

设置页右上角的“认证配置”入口支持：

OAuth 认证：开始授权、从 API Key 切换至 OAuth、清理现有状态后重新授权，或经二次确认取消本机授权。
API Key：保存、替换或移除 Key；已保存的明文永不回显，也不会进入插件配置和日志。

默认 bundle 使用自动认证模式：

endpoint: https://open.chineselaw.com/mcp
serverName: yuandian
auth:
  mode: auto
  callbackPort: 1455
  openBrowser: true
  timeoutMs: 300000
httpTimeoutMs: 60000
toolCallTimeoutMs: 60000
failOnStartupError: true
reconnect:
  enabled: true
  initialDelayMs: 500
  maxDelayMs: 30000
  maxAttempts: 10

自动模式下，插件安装和首次加载时若没有任何凭证，会保持未认证待机状态：不打开浏览器、不请求 MCP，也不影响 Harness 启动。用户在设置页点击“开始 OAuth 授权”或保存 API Key 后，插件才会立即建立 MCP 连接，无需重启 Harness。已有 API Key 或可静默复用的 OAuth Token 时，后续加载会自动连接；OAuth Token 失效且无法刷新时会回到未认证待机，不会在 dsh web 启动阶段自动打开授权页。

已授权时可在 OAuth 页签选择“取消授权”。确认后插件会删除 Harness 本机凭证服务中的 YUANDIAN_MCP_OAUTH、授权完成标记和进行中的授权尝试：若另有 API Key 则切换到 API Key，否则断开 MCP、注销已发现的工具并回到未认证待机。当前元典 OAuth metadata 未公布 Token 撤销端点，因此该操作不表示服务端 Token 已立即吊销，远端 Token 可能继续有效至自身过期。

设置页会用 YUANDIAN_MCP_OAUTH_START 标识当前 OAuth 尝试；该引用不包含 Token 或其他秘密。授权完成、拒绝、失败或超时后，后端会清除它；重新发起授权会覆盖并终止旧尝试。YUANDIAN_MCP_OAUTH_AUTHORIZED 只表示 Token 已成功写入，设置页不会再把 discovery、动态客户端注册或 PKCE 中间状态误报为已授权。

OAuth 首次授权时会：

发现元典 OAuth metadata 并动态注册 public client。
仅在 127.0.0.1 的配置端口监听 /oauth/callback。
打开系统浏览器；打开失败时在日志中输出可复制的授权地址。
严格校验回调 method、path、state、OAuth error 和超时。
将 client information、Token、PKCE verifier 和 discovery state 序列化到 YUANDIAN_MCP_OAUTH 凭证引用。

DSH 本地凭证提供方通常把该引用存入 $DSH_HOME/.credentials.yaml，并负责 0600 权限和原子写入。不要把该文件、Token 或浏览器回调地址提交到仓库。

修改回调端口时，端口必须为 1..65535；插件始终使用精确 redirect URI http://127.0.0.1: /oauth/callback。默认授权等待 300 秒。

固定认证模式（高级配置）

如需在服务器或 CI 中强制只使用 API Key，可在 profile 的 cordis.patch.yml 中覆盖插件行。DSH patch 会整体替换该行的 config，因此需要重述完整配置：

- id: huayu-yuandian-legal-data
  config:
    endpoint: https://open.chineselaw.com/mcp
    serverName: yuandian
    auth:
      mode: api-key
      credentialRef: YUANDIAN_API_KEY
    httpTimeoutMs: 60000
    toolCallTimeoutMs: 60000
    failOnStartupError: true
    reconnect:
      enabled: true
      initialDelayMs: 500
      maxDelayMs: 30000
      maxAttempts: 10

凭证值不要写进 patch。可在启动 DSH 的环境中提供：

export YUANDIAN_API_KEY='你的元典 API Key'
dsh --profile web

插件解析该 credential 引用，并仅在 MCP HTTP 请求中发送 Authorization: Bearer 。固定 oauth 模式仍受支持，其字段与自动模式中的 OAuth 字段相同，只需将 oauthCredentialRef 改为 credentialRef。

固定认证模式（高级配置）

如需在服务器或 CI 中强制只使用 API Key，可在 profile 的 cordis.patch.yml 中覆盖插件行。DSH patch 会整体替换该行的 config，因此需要重述完整配置：

- id: huayu-yuandian-legal-data
  config:
    endpoint: https://open.chineselaw.com/mcp
    serverName: yuandian
    auth:
      mode: api-key
      credentialRef: YUANDIAN_API_KEY
    httpTimeoutMs: 60000
    toolCallTimeoutMs: 60000
    failOnStartupError: true
    reconnect:
      enabled: true
      initialDelayMs: 500
      maxDelayMs: 30000
      maxAttempts: 10

凭证值不要写进 patch。可在启动 DSH 的环境中提供：

export YUANDIAN_API_KEY='你的元典 API Key'
dsh --profile web

huayu-yuandian-legal-data

AI 分析

安装

说明文档

认证配置

固定认证模式（高级配置）

固定认证模式（高级配置）