OAuth2 授权码
粘贴远程 MCP 服务地址，用专用账号登录一次，让 ZAI 以该账号调用服务。
要让 ZAI 调用一个需要登录的远程 MCP 服务时，在 访问内容 → 添加访问 页底部展开 自定义认证（或在搜索框输入名称），选择 OAuth2 授权码。你只需要粘贴服务地址，再用一个专用账号登录一次；平台自己去服务那里登记客户端、换取令牌，并在需要时续期。令牌不会交给 ZAI。
适合这种方式的是按 MCP 授权规范要求登录的服务，客户自建、实现了同一套登录方式的系统也一样。服务给的是 API Key 或个人令牌时，用 Bearer Token 或自定义请求头；机器对机器、不需要登录的 OAuth2 服务用 OAuth2 Client Credentials。
服务地址
MCP 服务地址 填服务文档给出的完整地址，以 https:// 开头，带服务要求的路径，例如 <mcp-url>；地址里不能有用户名密码、查询参数（? 及之后的部分）或 # 片段。保存时平台会访问一次这个地址，找到它对应的授权服务器；地址填错、服务没有按规范声明登录方式，或者从公网访问不到时，保存失败，凭证不会创建。
这个地址同时就是凭证唯一的访问目标：不需要另外填写 访问目标，授权服务器的地址也不需要放行。地址创建后不能修改，要换地址请新建凭证。
客户端身份
平台以「客户端」的身份向服务登记自己。客户端身份 默认 自动：服务支持的话，平台用免注册的方式直接登记，不行再向服务自动注册。两种都不需要你到服务方后台建应用。
服务只接受事先登记过的客户端时，选 预注册：
- 在服务方的开发者后台按它的文档创建 OAuth 应用，回调地址填 Z Tag 管理员提供的地址。
- 把服务方给出的 Client ID 与 Client Secret 填进来。预注册时 Client Secret 必填。
- 客户端认证 按服务方的要求选择 HTTP Basic（
client_secret_basic）或 请求正文（client_secret_post），区别见 OAuth2 Client Credentials。
Scopes
在 Scopes 中填写服务文档要求的 scope，以空格或逗号分隔；不需要时留空，服务按它的默认范围授权。最终能访问什么，还取决于登录账号在服务里的权限。
服务地址、客户端身份和 Scopes 创建后都不能修改；这种凭证也没有 替换凭证，要更换登录账号就重新登录一次。需要改其他配置时新建凭证，见修改与替换。
以机器人账号登录
保存后点 以机器人账号登录，在新打开的窗口里用服务上的一个专用账号登录并同意授权，完成后回到控制台。请用只给 ZAI 使用的账号，不要用个人账号：这个凭证在所属连接器的使用范围内生效，范围内的人都能借助 ZAI 访问该账号在服务里能看到的内容。
登录链接有有效期，超时或关掉窗口后重新点一次即可；重新发起会让之前的链接失效。不要把登录链接转发给别人，谁打开它登录，凭证就绑定到谁的账号。
状态说明
凭证编辑页的 授权状态 显示这份授权能不能用：
- 未授权：还没有完成登录，这个凭证不能用于任何请求。点 以机器人账号登录。
- 已授权：可以使用，平台在需要时自动续期，不需要你操作。
- 需重新授权：服务不再接受这份授权，例如授权在服务方被撤销、登录账号被停用，或长期凭据已过期。用这个凭证的请求会失败，点 重新登录 再登录一次，状态恢复为 已授权。
连接器 访问内容 表里的状态更简短：未授权 和 需重新授权 都显示为 未授权，已授权时显示 有效，见连接器的状态。
有的服务登录后只给短期令牌、不给续期用的凭据。这种服务的令牌到期后，下一次使用会失败，状态随之变成 需重新授权，每次都要重新登录。这是服务方的限制；服务提供 API Key 时，改用 Bearer Token 可以避免。
服务拒绝自动登记
有的服务在说明里声明支持自动登记，实际只接受它白名单里的回调地址，于是会拒绝平台的登记。这时保存失败，表单显示服务返回的原因，凭证不会创建。可以这样处理：
- 改用预注册：按客户端身份的步骤在服务方后台创建 OAuth 应用，回调地址填 Z Tag 管理员提供的地址，再回到表单选 预注册 并填入 Client ID 与 Secret。
- 服务不允许创建自己的 OAuth 应用时，改用它支持的其他方式，例如 Bearer Token 或自定义请求头。
保存成功后，按以机器人账号登录完成登录。
网络
连接器没有指定网络隧道时，保存、登录后换取令牌和续期，都由平台直接访问服务地址和它的授权服务器，所以它们必须能从公网访问。
连接器指定了网络隧道时，这些访问和 ZAI 调用服务工具的请求一样，只经由这条隧道，见连接器指定隧道。隧道离线时保存和登录会失败，续期暂时失败，用这个凭证的请求随之失败；隧道恢复后续期自动恢复，不需要重新授权。这些访问不会改走公网。
验证与排错
登录成功后，请 ZAI 用服务里一个只读的小工具验证一次。请求失败时先看状态：未授权 或 需重新授权 时先登录；状态是 已授权 仍然失败，按验证与排错排查。服务拒绝了一个还没到期的令牌时，下一次请求会重新换取令牌。