HTTP API

Vyane 除了 CLI 和 MCP，还起了几个 HTTP 服务。它们不是一个统一的大 server，而是三张各管一摊的「脸」：

• Dashboard / Beacon 服务——最主要的一张脸，跑在 vyane dashboard（默认 127.0.0.1:41521）。所有 /api/* 端点都在这里：看板状态、历史、成本、审查、任务、会话，以及两个关键写入口——看板写和工作流运行。/api/* 全部需要 Bearer token。
• Daemon webhook 服务——常驻 daemon 起的健康检查 + webhook 接收面，提供 /health。
• A2A HTTP 服务——Agent-to-Agent 协议对外面（vyane a2a-server），提供 /health 和 agent card。

下面按服务分别列端点，以源码为准（src/vyane/dashboard.py、src/vyane/daemon/webhook.py、src/vyane/a2a/http_server.py）。

Dashboard / Beacon 服务

用 vyane dashboard --host 127.0.0.1 --port 41521 启动。技术栈是 Starlette。想了解它服务什么、怎么调，看下面。

认证怎么走

安全中间件的判定顺序（src/vyane/dashboard.py）：

1. 路径不以 /api/ 开头 → 直接放行（例如 /）。
2. 校验请求来源 Origin（跨域白名单），不在白名单返回 403。
3. OPTIONS 预检 → 返回 204 + CORS 头。
4. 取 Authorization: Bearer <token>，和配置的 token 逐一比对（用 hmac.compare_digest 常量时间比较，防时序侧信道）。
5. 开了 auth_required（默认开）而没带有效 token → 401。

token 从环境变量读，也可以启动时传入：

调用示例：

# 读看板状态
curl -H "Authorization: Bearer $VYANE_DASHBOARD_API_TOKEN" \
  http://127.0.0.1:41521/api/status

# 提交一次看板写（见下方「看板写」）
curl -X POST http://127.0.0.1:41521/api/board/write \
  -H "Authorization: Bearer $VYANE_DASHBOARD_API_TOKEN" \
  -H "Content-Type: application/json" \
  -d '{"action":"log","issue_id":"ISSUE-42","message":"进展说明","mode":"apply"}'

关键端点

页面 + 两个写入口（最需要知道的）：

只读数据端点（都走同一套 Bearer 认证，节选）：

看板写：POST /api/board/write

这是看板三个写入口之一（另两个是 CLI 直读写文件、MCP vyane_board_write），三者最终都经 LedgerService。请求体是 JSON。

• action——写动作：log / take / done / drop / cancel / new。
• mode——dry_run（默认，只预演不落盘）或 apply（真正写入）。
• issue_id——目标卡号（如 ISSUE-42）；new 时留空。
• title——新建卡标题（new 用）。
• 其它可选字段：project / priority / desc / labels / message / next / by（默认 sui）/ codename / evidence 等。

出错时返回 API 形态的错误对象（带对应 HTTP 状态码），而不是抛裸异常。

工作流运行：POST /api/workflow/run

启动一次 workflow v2 脚本运行，立即返回 run_id（异步执行）。这是工作流的远程、不可信脚本执行面，护栏比 CLI 更严：

• 必须带有效 dashboard Bearer token。
• 运行的 owner 从认证 token 绑定——请求体或 query 里的 owner_user_id 会被忽略，防止一个人以别人身份提交运行。
• 启动后用 GET /api/workflow/{run_id} 轮询状态，或 GET /api/workflow/{run_id}/events 订阅 SSE 进度流。

这跟 MCP 的 vyane_workflow 和 CLI 的 vyane workflow run <script.js> 是同一套 v2 引擎的三个入口，只是 HTTP 这一路作为公网面加了最严的身份护栏。

Daemon webhook 服务：/health

常驻 daemon（src/vyane/daemon/webhook.py，aiohttp）起一个健康检查面：

CLI 的 vyane daemon 相关命令会读这个 /health（默认 http://127.0.0.1:<port>/health）来采样 daemon 的实时状态。它返回一个 JSON 对象，健康时 200，异常时可能带非 200 状态码。

A2A HTTP 服务：/health 与 agent card

Agent-to-Agent 协议的对外面（vyane a2a-server，src/vyane/a2a/http_server.py，Starlette）：

相关