必须正确配置插件授权类型：选“不需要授权”仅适用于无认证api；“service”需准确填写header名（如x-api-key）和密钥值；oauth要求前后端配合且client secret严禁泄露；不支持自定义凭证的插件应改用自定义http工具。
☞☞☞AI 智能聊天, 问答助手, AI 智能搜索, 多模态理解力帮你轻松跨越从0到1的创作门槛☜☜☜
要在扣子（Coze）平台让插件安全调用第三方服务，必须正确配置鉴权方式——选错授权类型会导致401错误、接口静默失败或Token过期后整个工作流中断。
确认插件支持的授权类型
打开插件市场，搜索目标服务（如“飞书”“即梦”“OpenWeather”），点击进入详情页。重点看顶部标签：若标注“云侧插件”或“基于已有服务创建”，说明支持自定义凭证；若只写“官方认证插件”且无配置入口，【无法传入你个人申请的API密钥】，直接跳过。
点击“使用此插件”后，先不添加节点，点右上角“配置插件”。出现“凭证管理”或“API Key设置”区域才可继续；没有该区域的插件，放弃，改用自定义HTTP工具接入。
三种授权方式实操配置
方法一：不需要授权（仅限测试或公开API）
适用于无认证要求的Mock接口或公开天气API（如部分OpenWeather免费端点）。在插件配置页→授权方式→选“不需要授权”→直接点确定。这一步操作起来很简单，但上线前必须确认目标API真不校验Header或Query参数，否则后续所有请求都会返回403。
方法二：Service认证（最常用、推荐新手首选）
适用于需固定密钥的API，比如即梦图像生成、飞书机器人Webhook。
① 授权方式选“Service”；
② Header名填实际要求的字段，如X-API-Key或Authorization；
③ 值栏粘贴你从服务商后台获取的真实密钥（注意不要带多余空格或换行）；
④ 点确定保存。密钥一旦填错，插件节点运行时不会报错，而是返回空响应或500，排查极难——务必复制后在记事本里检查两端是否完全一致。
方法三：OAuth（仅限有完整前后端能力的场景）
OAuth授权码模式要求你具备可公网访问的前端页面和稳定后端服务，用于接收重定向code并交换access_token。扣子平台创建OAuth应用时，会生成Client ID与Client Secret，【Client Secret必须严格保密，绝不可硬编码在前端或插件配置中】。若你的服务无后端，或只是单机调试，强行启用OAuth将导致重定向失败、code拿不到、后续流程卡死。
扣子 (Windows) 是字节跳动推出的一站式 AI Agent 平台客户端，支持多 Agent 协作、可视化工作流和知识库管理。最新版本新增 Claude Code 与 Codex CLI 接入、多端同步和项目级管理功能，同时优化了插件生态和 AI 响应速度，让用户在 Windows 上即可高效创建、运行和协作智能体，满足个人、团队及企业场景需求。
绑定变量与参数映射验证
在工作流编辑区→添加节点→插件→选择已启用插件（如jimeng_generate_image）。双击节点→右侧“输入参数”区域，逐个点击参数旁的链条图标→从下拉菜单中绑定你在“开始节点”定义的同名变量（如image_prompt、apikey）。
特别注意：变量名大小写、下划线位置必须完全一致。例如开始节点定义的是api_key，而插件参数要求填APIKEY，工作流运行时只会提示“参数缺失”，不会指出具体哪一项错——这种错误往往要花半小时以上才能定位。
完成绑定后，点击节点右上角“试运行”，观察日志是否出现“HTTP 200”及预期JSON结构。若返回401，立即回查Service认证中的Header名与密钥值；若返回400，检查变量绑定是否漏项或类型错配（比如把数字当字符串传）。
响应字段提取与JSONPath配置
插件执行成功后返回整段JSON，但下游节点通常只需其中1个字段（如图片URL、天气温度）。在插件节点右侧面板→“响应处理”→“响应解析”选“JSONPath”。
在输入框中填写路径，例如：
提取即梦返回图床地址：$.data.result.url
提取OpenWeather当前温度：$.main.temp
路径写错会导致后续节点接收到null或原始JSON字符串，无法用于发送消息或条件判断——务必对照API文档返回示例逐级核对键名。
测试时用浏览器直访该API地址（带上你填的密钥），把返回体复制进在线JSONPath测试工具（如jsonpath.com），验证路径是否能精准提取目标值。
