企业官网建设流程全解析

1. 从 Cursor 里那句 401 说起：Casdoor 管的是“你是谁”，TaoToken 管的是“模型怎么调”

如果你正在把 Cursor 接进公司统一身份体系，大概率会撞上这样一个瞬间：Casdoor 这边授权码换 Token 一切正常，/api/userinfo也能拿到用户信息，但回到 Cursor 里一发请求，模型侧直接回 401 或 403，提示凭据无效。问题不在于 OAuth 配错了，而在于很多人把两件事混成了一件——用户身份令牌和模型调用凭据。Casdoor 签发的是前者，它回答“这个登录的人是谁、属于哪个组织”；真正让 Cursor 把请求打到模型服务上的，是后者，也就是你在 TaoToken 控制台创建的 API Key。

把这两条链路拆开看，整套集成其实非常短：Casdoor 作为 OAuth 2.0 授权服务器，负责应用访问的登录与令牌签发；TaoToken 负责模型侧的统一入口与 Key 管理。注册、拿 Key、看用量都在 TaoToken 官网 的控制台完成，模型 Base URL 统一填https://taotoken.net/api，Key 占位符写成YOUR_API_KEY。

这篇文章按一个 OAuth 集成开发者的视角往下走：先在 Casdoor 建 OAuth 应用，拿到 Client ID / Secret 和授权 URL；再用授权码换 Token，看清返回值里每个字段；最后把 TaoToken 的 Key 与 Base URL 落到 Cursor 的模型凭据里，附上 Claude Code 的settings.json、Codex 的config.toml以及 CC Switch 三件套的可复制配置。全程可跟做，报错也一起排。

2. 在 Casdoor 建 OAuth 应用：授权 URL 怎么拼、回调怎么配

Casdoor 本身已经不只是一个登录页，它把用户、组织、应用、身份源、权限策略放进同一套可视化管理台。对本次任务来说，你只需要用到它的 OAuth 2.0 授权服务器能力，把 Cursor 相关的业务应用注册成一个 Client。

进入 Casdoor 后台后，大致是这么几步：

1. 用管理员账号登录，第一件事是把内置默认密码改掉，别留到联调结束。
2. 进入「应用」列表，新增一个应用，名称用英文小写加连字符，比如cursor-llm-gateway。
3. 在应用详情里记录两个值：Client ID与Client Secret。Secret 只放后端或本地环境变量，不要进前端、不要进 Git。
4. 在「重定向 URL」里精确登记回调地址，多个回调可以一行一个。本地联调常见的是http://localhost:3000/oauth/callback；如果是 Cursor 这类桌面客户端的本地回调，按客户端实际监听的端口填写，路径和端口必须一字不差，否则会在授权阶段被拒绝。
5. 授权类型勾选 Authorization Code。需要刷新令牌的话，同时开启 Refresh Token。

保存之后，授权入口的 URL 结构就确定了。Casdoor 的授权端点通常挂在/login/oauth/authorize下，可复制的 URL 形如：

https://<你的-casdoor-域名>/login/oauth/authorize ?client_id=<CLIENT_ID> &response_type=code &redirect_uri=http%3A%2F%2Flocalhost%3A3000%2Foauth%2Fcallback &scope=openid%20profile%20email &state=<随机字符串>

几个容易翻车的点先标出来：redirect_uri必须做 URL 编码，且要和后台登记的完全一致；state不能省，它是防 CSRF 的关键；scope里至少带openid，否则拿不到标准 OIDC 的用户信息端点。想快速核对端点是否齐全，可以直接拉 OIDC 发现文档：

curl -s https://<你的-casdoor-域名>/.well-known/openid-configuration | jq '.authorization_endpoint, .token_endpoint, .userinfo_endpoint'

返回的三个地址就是后面两步要用的。把授权 URL 丢进浏览器，页面会跳到 Casdoor 的登录门户，完成账号密码、MFA 或第三方身份源登录后，浏览器会被重定向回你登记的redirect_uri，地址栏里多出一个code参数——这就是授权码。

此时先别急着换 Token。授权码是短时效、一次性的，拿到就尽快换，同时在心里默念一遍本文的核心边界：这个码换回来的是“人”的身份令牌，不是模型调用凭据。这一点在后面配 Cursor 时非常关键。

3. 授权码换 Token：一次完整的 curl 复现与返回值对照

第二步在后端做，用授权码换 Access Token。Casdoor 的 Token 端点是/api/login/oauth/access_token，标准authorization_code流程：

curl -X POST "https://<你的-casdoor-域名>/api/login/oauth/access_token" \ -H "Content-Type: application/x-www-form-urlencoded" \ -d "grant_type=authorization_code" \ -d "client_id=<CLIENT_ID>" \ -d "client_secret=<CLIENT_SECRET>" \ -d "code=<上一步拿到的一次性授权码>" \ -d "redirect_uri=http://localhost:3000/oauth/callback"

成功时返回的 JSON 结构大致如下（字段名以实际返回为准）：

{ "access_token": "eyJhbGciOi...", "token_type": "Bearer", "expires_in": 7200, "refresh_token": "eyJhbGciOi...", "id_token": "eyJhbGciOi...", "scope": "openid profile email" }

逐个字段对照一下用途，避免误用：

• access_token：调用 Casdoor 受保护接口的凭据，放Authorization: Bearer <token>头里。它是身份层面的凭证。
• token_type：固定为Bearer，拼请求头时不要写成Basic。
• expires_in：秒数，通常两小时上下。业务侧要按这个值做提前刷新，不要等 401 再补救。
• refresh_token：Access Token 过期后换新令牌用。如果 Casdoor 应用里没开 Refresh Token，这个字段就不会出现。
• id_token：OIDC 的身份断言，做前端免登或拿用户基本信息时用，不要拿它去调模型。
• scope：本次授权实际生效的范围，和后端权限判断对齐。

拿着access_token验证一下身份链路是否打通：

curl -s "https://<你的-casdoor-域名>/api/userinfo" \ -H "Authorization: Bearer <access_token>" | jq '{name, email, owner}'

能正常返回用户名、邮箱、所属组织，说明 Casdoor 这条链路已经闭环。到这里，OAuth 2.0 授权服务器保护应用访问的目标达成。接下来是最容易被忽略的一步：把这个身份结果，映射到模型侧的调用凭据上。

4. 从身份令牌到模型凭据：TaoToken Key 与 Base URL 的落位

很多人卡住的原因，是默认“OAuth 换来的 Token 应该能直接调模型”。实际上模型服务需要的是它自己认可的一把 Key，Casdoor 的access_token对它没有意义。正确做法是两步走：Casdoor 确认这个人是谁、能不能进这个应用；TaoToken 负责这个人（或这个团队）能在模型侧消耗多少。

所以第三步是去 TaoToken 官网 完成注册并进控制台创建 API Key。建议按人、按项目分配独立 Key，别全组共用一把，否则用量无法归因，离职回收也麻烦。创建完成后你会拿到一串 Key 值，本文统一用占位符YOUR_API_KEY表示。

模型侧的固定写死两项：

Base URL: https://taotoken.net/api API Key : YOUR_API_KEY

注意https://taotoken.net/api这个 Base URL 是工具配置项，不带任何查询参数。部分客户端在内部会自己拼接路径，如果它强制要求/v1，把 Base URL 写成https://taotoken.net/api/v1再试一次即可，两种写法在不同工具里的兼容情况不一样，实测为准。

把两条链路并排放在一起，对应关系就清楚了：

这里有个安全原则值得写进团队规范：Casdoor 的 Client Secret 和 TaoToken 的 API Key 都是服务端资产，不要塞进浏览器前端代码，也不要提交进仓库。前端只拿access_token去换自己的会话，模型请求走你的后端代理或本地客户端，Key 全程不出可控边界。

如果你正在做 MCP Server 或 Agent 编排，同样的边界继续成立：Agent 调用数据库类工具时不要直连生产库，涉及数据的 SQL 语句和命令由读者在本地环境自行执行与验证，模型侧只负责编排与生成，不负责越权触达存储。

5. Cursor 模型凭据填写对照：字段、取值与常见错填

到这一步，Cursor 的配置就只剩几个输入框。打开设置里的模型（Models）页面，按下面这张对照表填：

填完别急着开长任务，先用一句最短的对话验证：随便问一句“回复 ok”。如果 3 秒内正常返回，说明 Key、Base URL、模型名三者对上了。整个过程不需要在 Cursor 里填任何 Casdoor 的字段——Cursor 只认模型供应商，Casdoor 的登录发生在你自己的应用侧，两者不交叉。

最常见的四类错填，对照排查效率最高：

1. Base URL 多写了路径。填成https://taotoken.net/api/v1/chat/completions这类完整接口地址，客户端再拼一次就 404。只填到/api。
2. Key 里有前后空格或换行。从网页复制时经常带上不可见字符，粘贴后删掉首尾再保存。
3. 把 Casdoor 的 access_token 填进了 API Key。表现为 401，且令牌前缀明显不像常规 Key。回到控制台重新复制 TaoToken 的 Key。
4. 模型名不在可用范围内。表现为 404 或 model not found，换一个你账号模型列表里确实存在的名字。

如果 Cursor 里同时开了多个供应商配置，切换后记得重启一次客户端，部分版本的配置是启动时读取的。

6. Claude Code / Codex / CC Switch：三件套可复制配置

Cursor 之外，同一把 Key 还能直接复用到命令行侧的 AI 编码工具。这里必须强调一条硬规则：Claude Code 用ANTHROPIC_*系列变量，Codex 用config.toml加自己的环境变量，两套不能互串。把ANTHROPIC_*套到 Codex 上是无效配置，反过来同理。

6.1 Claude Code：settings.json走ANTHROPIC_*

编辑~/.claude/settings.json，用环境变量方式指向 TaoToken：

{ "env": { "ANTHROPIC_BASE_URL": "https://taotoken.net/api", "ANTHROPIC_AUTH_TOKEN": "YOUR_API_KEY", "ANTHROPIC_MODEL": "claude-sonnet-4-5" } }

保存后新开一个终端窗口，让环境变量生效，然后跑一次最简单的会话验证。三个变量各司其职：ANTHROPIC_BASE_URL决定请求打到哪，ANTHROPIC_AUTH_TOKEN是身份凭据，ANTHROPIC_MODEL指定默认模型。想切换模型时只改最后一个即可。

6.2 Codex：config.toml定义 provider

编辑~/.codex/config.toml，不要在这里使用ANTHROPIC_*变量，Codex 走的是自己的 provider 结构：

model = "gpt-5" model_provider = "taotoken" [model_providers.taotoken] name = "TaoToken" base_url = "https://taotoken.net/api/v1" env_key = "TAOTOKEN_API_KEY" wire_api = "chat"

环境变量单独导出：

export TAOTOKEN_API_KEY="YOUR_API_KEY"

写进~/.bashrc或~/.zshrc时注意别把 Key 明文提交到任何仓库。如果团队有密钥管理服务，优先从那里注入。

6.3 CC Switch 三件套：把切换动作固定下来

所谓三件套，指的是Claude Code 的settings.json、Codex 的config.toml、以及负责切换的脚本或软链。当你在多个供应商之间来回切时，手工改配置文件既慢又容易漏字段，建议用目录隔离：

mkdir -p ~/.ai-switch/{taotoken,backup} # 1) Claude Code 配置 cp ~/.claude/settings.json ~/.ai-switch/taotoken/claude-settings.json # 2) Codex 配置 cp ~/.codex/config.toml ~/.ai-switch/taotoken/codex-config.toml # 3) 一键切回 TaoToken switch-taotoken() { cp ~/.ai-switch/taotoken/claude-settings.json ~/.claude/settings.json cp ~/.ai-switch/taotoken/codex-config.toml ~/.codex/config.toml echo "switched to taotoken" }

把switch-taotoken放进 shell 配置里，切换就变成一条命令。三件套的价值不在脚本本身，而在于配置有副本、切换可回滚、出问题能立刻比对差异。团队协作时把~/.ai-switch/taotoken/里的模板（Key 用占位符）提交到内部仓库，新人 onboarding 只需要替换YOUR_API_KEY。

7. 排障清单：401、404、redirect_uri 不匹配与授权码过期

把两类问题分开看，定位速度会快很多。

属于 Casdoor 身份链路的问题：

• invalid_redirect_uri或授权页直接报错：后台登记的回调地址和你请求里带的不一致。注意http与https、端口号、结尾斜杠都算差异。
• invalid_grant：授权码已经用过、已过期（通常在几分钟内失效），或者client_id/redirect_uri与首次授权时不一致。重新走一遍授权拿新码。
• state校验失败：后端要缓存下发的state并比对回调值，别把它当摆设。
• 用户信息接口 401：access_token过期或拼写有误，检查请求头是否是Bearer加空格前缀。

属于 TaoToken 模型链路的问题：

• Cursor 或命令行工具返回 401：Key 不对、没生效，或误把 Casdoor 的令牌填了进去。重新从控制台复制 Key。
• 404 或 model not found：Base URL 多拼了路径，或模型名不在可用范围。
• 429：触发限流，检查是否有并发脚本在刷，或确认当前账号的配额情况。
• 请求超时：先确认本地网络到模型入口的连通性，再排查是否代理配置干扰。

一个通用的定位手法：把身份链路和模型链路分别用 curl 单独打一次。身份链路打/api/userinfo，模型链路打一次最简对话请求。哪条先失败，问题就在哪一侧，不用两边同时猜。

8. 生产前的安全与治理清单

OAuth 接好了、Key 也填上了，上线前这几点别省：

1. 改掉 Casdoor 内置管理员默认密码，并开启 MFA。身份系统是所有应用的入口，它失守等于全线失守。
2. 全站 HTTPS，redirect_uri也尽量走 https，避免授权码在明文链路上被截。
3. 授权码流程启用 PKCE，尤其是桌面客户端和移动端这类无法安全保存 Client Secret 的场景。
4. Client Secret 与 API Key 分离管理，两者都是服务端资产，不进前端、不进仓库、不进日志。
5. 给每个开发者分配独立 Key，方便按人归因用量、按人回收权限，离职流程里少一个坑。
6. 规划令牌轮换，Access Token 按到期时间提前刷新，Refresh Token 设定合理的失效周期。
7. 开启审计日志，Casdoor 侧的登录记录与模型侧调用记录对齐保留，异常登录配置告警。
8. 高可用按核心基础设施设计，身份服务不要当普通后台服务跑单实例，数据库和配置定期备份。

再补一条和数据相关的边界：任何由 Agent 或 MCP 工具触发的数据库操作，都不应该直连生产库；涉及查询和变更的 SQL，请在本地开发环境由人执行并验证结果。模型只负责生成与编排，权限边界由你的身份系统和网关共同把住。

9. 一条可执行的落地路径

把整篇压缩成一条路径，就是：

• 在 Casdoor 创建 OAuth 应用，拿到Client ID/Client Secret，登记回调地址，拼出授权 URL；
• 用授权码调用/api/login/oauth/access_token换回access_token，再调/api/userinfo验证身份闭环；
• 去 TaoToken 官网 注册并在控制台创建 API Key；
• 模型 Base URL 统一填https://taotoken.net/api，Key 用YOUR_API_KEY；
• Cursor 填好模型凭据，Claude Code 写settings.json，Codex 写config.toml，CC Switch 三件套固定切换动作。

做完前四步，你就已经拥有了“人可以统一登录、模型可以统一调用”的两层结构。Casdoor 负责身份，TaoToken 负责模型入口，两者之间靠一次 Key 的落位衔接，没有魔法，也没有隐藏环节。

接下来按顺序走一遍高转化路径，把环境跑起来：

1. 先在 模型对话 里用默认额度试一句，确认账号与模型可用；
2. 需要长期跑编码任务，看 Coding Plan 的套餐说明；
3. 进 API Keys 创建或轮换你的YOUR_API_KEY；
4. 按 Claude Code 文档 把命令行侧的ANTHROPIC_*配置补齐。

四步走完，OAuth 授权 URL、Token 返回值、Cursor 模型凭据填写这三张对照表你手里就都齐了，后面无论换机器还是接新同事，照表配置即可。