Chương 18: Kết nối CLI @seameet/mcp

CLI @seameet/mcp là một máy chủ Model Context Protocol không giao diện cho phép các công cụ khác (Claude Desktop, IDE, agent) đọc và ghi vào tài khoản SeaMeet của bạn. Vì nó không giao diện, bạn ủy quyền nó qua một luồng ủy quyền thiết bị (RFC 8628) — CLI hiện một mã ngắn, bạn truy cập một URL, xác nhận mã, xong.

Chương này bao gồm phía ứng dụng web: trang /link, hành động duyệt, và các rào chắn.

Luồng, đầu đến cuối

Chạy CLI (ví dụ npx @seameet/mcp hoặc một client khởi chạy nó).
CLI in một mã ngắn và một URL — thường là app.seameet.ai/link và một mã như ABCD-EFGH.
Mở URL trong trình duyệt của bạn.
Trên trang /link, nhập mã (hoặc CLI có thể đã điền sẵn qua query string).
Nhấp Approve.
CLI nhận một khóa API đọc+ghi danh nghĩa của bạn và giờ có thể hành động.

Vậy thôi. Toàn bộ luồng thường dưới 30 giây.

"Danh nghĩa của bạn" nghĩa là gì

Khóa API do /link phát là một token thật theo người dùng scope trên tài khoản SeaMeet của bạn. Mọi thứ CLI làm với nó xuất hiện trong thư viện của bạn như hành động của bạn. Cụ thể:

Đọc — CLI có thể liệt kê các bản ghi của bạn, lấy phiên âm và tóm tắt, truy vấn Meeting Memory trên kho lưu trữ của bạn.
Ghi — CLI có thể tạo bản ghi (qua tải lên), cập nhật tiêu đề và mô tả, tạo chia sẻ, và nói chung làm được những gì phiên bình thường của bạn làm được.

Vì token gắn với tài khoản của bạn, thu hồi phiên của bạn (đăng xuất mọi nơi) KHÔNG thu hồi token của CLI — token là một thông tin xác thực riêng. Xem "Thu hồi một lượt duyệt CLI" dưới.

Đăng nhập bắt buộc

Trang /link đòi một tài khoản thật, đã đăng nhập, đã xác minh. Nghĩa là:

Chưa đăng nhập. Trang chuyển hướng bạn tới /signin với một tham số returnTo mang mã, nên sau khi đăng nhập luồng tiếp tục trên /link với mã còn nguyên.
Phiên khách ẩn danh. Giống chưa đăng nhập — phiên khách không thể duyệt một CLI, vì CLI cần một danh tính thật để gắn. Bạn được gửi tới /signin để nâng phiên thành tài khoản thật.
Đã đăng nhập và xác minh. Hành động duyệt được bật.

Đây là một rào chắn có chủ ý. Không có nó, một CLI có thể hành động "danh nghĩa" một phiên ẩn danh dùng một lần mà chẳng có ai mở một cách có chủ ý.

Nhấp để duyệt rõ ràng

Trang /link chưa bao giờ tự ủy quyền. Ngay cả khi mã điền sẵn qua ?code=<value>, bạn phải nhấp rõ ràng Approve. Đây là phòng thủ: tự duyệt khi tải sẽ là một vector lừa đảo — một trang ác ý có thể mở /link?code=<mã-của-kẻ-attacker> trong trình duyệt của bạn và đúc một token cho kẻ tấn công trước khi bạn nhận ra.

Luôn kiểm tra mã hiển thị trên trang khớp mã CLI của bạn hiển thị trước khi nhấp Approve. Nếu không khớp, đóng trang.

Hành động duyệt

Nhấp Approve và:

Ứng dụng web xác minh mã với các máy chủ của SeaMeet.
Máy chủ kiểm tra mã hợp lệ, chưa hết hạn, và gắn với một tài khoản thật (không ẩn danh).
Nếu hợp lệ, nó đúc một khóa API, gắn nó với mã, và trả về thành công.
CLI, vốn đang thăm dò endpoint token, nhận khóa và in thông báo thành công.
Trang /link của ứng dụng web hiện "Approved" — tab có thể đóng.

Nếu mã hết hạn (các mã RFC 8628 ngắn hạn — thường 15 phút), CLI phải tạo mã mới và bắt đầu lại.

Thu hồi một lượt duyệt CLI

Hai cách:

Từ phía CLI. Xóa token trong bộ nhớ cục bộ của CLI (hoặc chạy lệnh logout của CLI, nếu có). Token vẫn hợp lệ phía máy chủ cho tới khi bạn cũng thu hồi ở đó.
Từ phía tài khoản. Tài khoản → Connected apps → tìm lượt duyệt CLI theo dấu thời gian dùng gần nhất → Revoke. Điều này làm token mất hiệu lực phía máy chủ ngay.

Với người cẩn trọng: thu hồi phía máy chủ. Việc xóa phía CLI chỉ dừng tiến trình CLI hiện tại dùng token; nó không ngăn một bản sao token được dùng nơi khác.

Nhiều lượt duyệt CLI

Bạn có thể duyệt CLI nhiều lần (ví dụ mỗi máy bạn dùng một lần). Mỗi lượt duyệt đúc một khóa API riêng. Tài khoản → Connected apps liệt kê chúng với metadata theo khóa (dùng gần nhất, duyệt đầu tiên).

Thu hồi một lượt duyệt CLI không ảnh hưởng những cái khác.

Bảo mật token

Token lưu trong thư mục cấu hình cục bộ của CLI, mặc định không mã hóa.
Nếu máy của bạn bị xâm nhập, token bị xâm nhập. Thu hồi phía máy chủ và duyệt lại.
Token mặc định không có hết hạn (dài hạn). Nếu muốn token ngắn hạn, thu hồi và duyệt lại theo lịch xoay vòng của bạn.
Token truyền qua HTTPS (được HSTS bảo vệ — xem Chương 17).

Chuyển quyền lợi

CLI hành động như bạn — nên nó có tầng quyền lợi của bạn. Nếu bạn ở gói miễn phí, CLI chịu giới hạn hiển thị gói miễn phí khi đọc phiên âm. Sync Pro? CLI có quyền đọc đầy đủ.

Các hành động ghi như tạo bản ghi tính vào hạn mức của bạn như một phiên bình thường.

Vấn đề thường gặp

"Mã hết hạn." Các mã ngắn hạn (thường 15 phút). Khởi động lại CLI để lấy mã mới.

"Mã đã duyệt nhưng CLI không nhận ra." CLI thăm dò endpoint token mỗi vài giây. Cho nó 10-15 giây. Vẫn không có gì thì khởi động lại CLI — vòng thăm dò có thể đã sập.

"Tôi đăng nhập và mất mã." Trang /link mang mã trong returnTo — đăng nhập và bạn đáp lại với mã được giữ. Nếu mất thật, khởi động lại CLI để có mã mới.

"Approve trả lỗi 'not_entitled'." Quyền lợi của tài khoản không gồm duyệt CLI — hiện duyệt CLI đòi Sync Pro. Nâng cấp và thử lại.

"Tôi đã duyệt nhưng CLI của tôi vẫn nói 'authorization required'." Kiểm tra thư mục cấu hình của CLI xem token đã lưu (đường dẫn tùy phiên bản CLI). Nếu rỗng, CLI đã lỡ token — khởi động lại và duyệt lại.

Tham khảo Nhanh

Nhiệm vụ	Cách
Duyệt một mã CLI	`app.seameet.ai/link` → nhập/kiểm mã → Approve
Thu hồi token CLI (phía máy chủ)	Tài khoản → Connected apps → Revoke
Thu hồi token CLI (phía client)	Lệnh `logout` của CLI, hoặc xóa tệp cấu hình CLI
Xem mọi lượt duyệt	Tài khoản → Connected apps
Duyệt trên nhiều máy	Duyệt mỗi máy một lần — mỗi máy đúc một token riêng

Cập nhật lần cuối: 2026-08-28

← Chương 17: Tài khoản và Cài đặt