Konten, Authentifizierung und Regionen
Die Auth0-PKCE-Übergabe über Redis, das PlanToCode-JWT und seine Erneuerung, was ein Regionswechsel ungültig macht, wie ChatGPT-Profile zu Transkripten stehen, und welche Daten Ihren Computer verlassen.
Gegen den Quellcode geprüft am 17. September 2026
Auf dieser Seite
Wie die native Anmeldung zurück in die App kommt
- State-Schlüsselauth0:state:{state}
Von initiate-login mit Polling-ID und CSRF-Token geschrieben und vom Callback gelöscht, sobald er den Code parkt. Ein wiederholter Callback findet nichts und erhält 401.
- Poll-Schlüsselauth0:poll:{pid} · SET NX
Abfragen lesen ihn, ohne ihn zu verbrauchen, sodass nach einer verlorenen Antwort die nächste Abfrage denselben Code erhält. finalize-login löscht ihn nach dem Ausstellen des JWT, und beide Schlüssel laufen nach 30 Minuten ab.
- AbfragenGET /auth0/poll-status
Telefone fragen alle 2 Sekunden ab, bis zu 60-mal. Der Desktop fragt etwa eine Minute lang alle 2 Sekunden ab, danach alle 3, und hört nach 60 Abfragen oder 150 Sekunden auf.
- Verifiercode_verifier
Wird mit der Polling-ID erzeugt und im Arbeitsspeicher der App gehalten. Nur der Token-Endpunkt von Auth0 erhält ihn, einmal, sodass ein geparkter oder abgefangener Code ohne ihn nutzlos ist.
- Zugriffstokenfinalize-login · auth0_id_token
Die App erhält es aus ihrem eigenen Code-Austausch und sendet es einmal an finalize-login, in einem Feld, das noch auth0_id_token heißt. Der Server prüft es, holt damit userinfo und speichert es nirgends.
- Refresh-Tokenusers.auth0_refresh_token
Läuft einmal durch die App. Der Server speichert es verschlüsselt, tauscht es mit seinen eigenen Client-Zugangsdaten bei Auth0 ein und behält das rotierte Token, auch wenn die neuen Tokens danach die Prüfung nicht bestehen.
- PlanToCode-JWTJWT_ACCESS_TOKEN_DURATION_DAYS = 7
Pro Gerät mit einem device_id-Claim ausgestellt. Bis zu 24 Stunden nach dem Ablauf tauscht refresh-app-token es noch gegen ein neues. Danach ist eine neue Anmeldung nötig.
- ChatGPT-Anmeldungcodex --auth-home
Entsteht durch die eigene Anmeldung des Codex-Kinds und liegt im Profilordner des Desktops, den es liest. Telefone erhalten über das Relay Name, E-Mail, Plan und Nutzungslimits des Profils, nie die Anmeldung selbst.
| HTTP-Einstiegspunkt | Zweck |
|---|---|
| GET /auth/auth0/initiate-login | Account-Login initiieren. |
| GET /auth/auth0/callback | Auth0 leitet den Browser hierher. Den Code parken und den Browser auf eine Bestätigungsseite schicken. |
| GET /auth0/poll-status | Nicht konsumierende Abfrage; 204 mit Cache-Control: no-store, bis der Code geparkt ist. |
| POST /auth0/finalize-login | Auth0-Token und Client-ID prüfen, eine verifizierte E-Mail verlangen, das PlanToCode-JWT ausstellen, das Erstanmeldeguthaben gewähren und dann den Poll-Schlüssel löschen. |
| POST /api/auth0/refresh-app-token | Das PlanToCode-App-Token erneuern. Die einzige Route, die ein abgelaufenes Token akzeptiert. |
Das Verbrauchen des State-Schlüssels und das Löschen des Poll-Schlüssels laufen jeweils als ein Lua-Skript in Redis. Der Speicher ist Redis statt Arbeitsspeicher, weil jeder API-Prozess der Region ihn teilt.
Das PlanToCode-JWT ist HS256 mit gemeinsamem Geheimnis, Aussteller plantocode, Zielgruppe plantocode-api und Scope read write rpc. Seine jti wird bei jeder Anfrage und erneut beim WebSocket-Upgrade gegen eine Sperrtabelle geprüft, sein device_id-Claim wird mit dem X-Device-ID-Header verglichen, und es lebt standardmäßig 7 Tage. Die Erneuerungsroute akzeptiert ein Token noch bis zu 24 Stunden nach seinem Ablauf, wobei Aussteller, Zielgruppe, Gerätebindung, Scopes und Sperrung weiter durchgesetzt werden, läuft in einer pro Benutzer serialisierten Transaktion und verweigert ein neues Token, wenn Auth0-Subject oder E-Mail nicht mehr zum gespeicherten Benutzer passen. Das WebSocket-Upgrade erfasst vor seiner Sperrprüfung eine Registrierungssperre pro Benutzer, sodass eine Abmeldung, die zwischen HTTP-Prüfung und Relay-Registrierung abschließt, die Registrierung ungültig macht.
Das optionale Server-Client-Credential-Paar des Servers wird für den serverseitigen Auth0-Refresh-Austausch benötigt. Konfigurieren Sie die Auth0-Domäne, die native Client-ID, die Audience und die Callback-Einstellungen der nativen App gemeinsam. Die ausgewählte API-Region und die iOS-authServerURL sind unterschiedliche Konfigurationspfade, prüfen Sie also beide beim Einrichten einer lokalen Umgebung.
Was ein Regionswechsel oder eine Abmeldung ungültig macht
Ein Regionswechsel oder eine Abmeldung beendet den vorherigen Versuch und löscht seine Zugangsdaten. Ein spätes Ergebnis eines alten Versuchs kann kein Konto wiederherstellen, weil jedes Ergebnis an den Versuch und den Ursprung gebunden ist, die es gestartet haben.
Anmeldung, Abmeldung, Token-Erneuerung und Sitzungsabstimmung auf dem Desktop teilen eine Mutationssperre, und die Abstimmung verwirft Ergebnisse, wenn sich Token oder Ursprung während einer Anfrage geändert haben. Callback-Wiederholung wird abgewiesen, und die Übergabebestätigung ist idempotent.
Lokale Ausführung nutzt trotzdem entfernte Dienste
Tools und Dateiänderungen laufen auf dem Desktop, und eine Modellanfrage sendet den Aufgabenkontext trotzdem an OpenAI. Die mobile Steuerung sendet Anfragen und den zurückgegebenen Workspace-Inhalt über den regionalen Server. Das Diktat sendet eine Aufnahme an den von Ihnen konfigurierten Transkriptionsdienst, und die Gemini-Tools des Agenten senden Text oder Video unter Ihrem Schlüssel an Gemini.
„Desktop-eigen“ beschreibt also, wo Ausführung und Dateien leben. Es ist weder ein Offline-Modus noch ein Versprechen von Ende-zu-Ende-Verschlüsselung.