AI SDK harness 层现已支持原生订阅认证
内容提要
AI SDK 的 harness 层支持原生订阅认证，通过统一 HarnessAgent 接口运行不同编码代理，无需修改代码或配置。认证模式包括直接、自动和 ai-gateway 三种，凭证在主机边界解析，OAuth 令牌按需刷新，沙箱中注入占位凭证。支持 Claude Code、Codex、Cursor、GitHub Copilot 等。
延伸解读
三种认证模式的区别与选择
文章介绍了直接、自动和 ai-gateway 三种认证模式。直接模式优先使用显式的提供商环境凭证，否则使用主机上的原生订阅；自动模式在未设置 AI Gateway 凭证时行为相同；ai-gateway 模式则从不读取原生订阅。读者可根据是否使用 AI Gateway 以及是否希望利用本地订阅登录来选择合适模式。
凭证安全与沙箱注入机制
原生订阅凭证保留在主机上，与 API 密钥一样在主机边界解析，OAuth 访问令牌按需刷新。在沙箱支持的情况下，harness 接收占位凭证，真实令牌由主机注入到出站请求中。这种设计避免了在沙箱内暴露真实凭证，提升了安全性。
支持的编码代理与适配器
原生订阅认证适用于 harness 本身支持订阅登录的适配器，包括 Claude Code、Cline、Codex、Cursor、fx、GitHub Copilot、Grok Build、OpenCode 和 Pi。这意味着使用这些代理时，无需修改应用代码即可切换并利用各自的订阅认证。
Q&A
AI SDK harness 层现在支持什么新功能？
AI SDK harness 层现在支持通过原生订阅认证 harness，前提是底层 harness 支持该功能。
使用 harness 层切换编码代理需要修改代码吗？
不需要。harness 层通过统一的 HarnessAgent 接口运行不同的编码代理，因此你可以在不更改应用程序代码的情况下切换代理。
harness 层支持哪些认证模式？
支持三种认证模式：direct、auto 和 ai-gateway。direct 模式在存在显式提供商环境凭证时使用它们，否则使用主机上的原生订阅；auto 模式在没有设置 AI Gateway 凭证时行为相同；ai-gateway 模式从不读取原生订阅。
原生订阅凭证是如何安全处理的？
原生订阅凭证保留在主机上，在主机边界解析，OAuth 访问令牌按需刷新。在沙箱支持的情况下，harness 接收占位凭证，真实令牌在主机上注入到出站请求中。
哪些编码代理支持原生订阅认证？
支持原生订阅认证的编码代理包括 Claude Code、Cline、Codex、Cursor、fx、GitHub Copilot、Grok Build、OpenCode 和 Pi。
使用原生订阅认证需要新的设置吗？
不需要。无需代码更改或新设置。
