{"meta":{"title":"多租户与服务器部署","intro":"多用户服务器模式是指在为多个用户、租户、工作区或集成账户提供服务的后端代码中运行 Copilot SDK。 在此设置中，应用程序拥有请求路由和授权，而 SDK 和运行时提供每会话状态、每会话身份验证和显式工具注册，因此一个用户的会话不会继承其他用户的工具或标识。","product":"GitHub Copilot","breadcrumbs":[{"href":"/zh/copilot","title":"GitHub Copilot"},{"href":"/zh/copilot/how-tos","title":"操作方法"},{"href":"/zh/copilot/how-tos/copilot-sdk","title":"Copilot SDK"},{"href":"/zh/copilot/how-tos/copilot-sdk/setup","title":"设置 Copilot SDK"},{"href":"/zh/copilot/how-tos/copilot-sdk/setup/multi-tenancy","title":"多租户"}],"documentType":"article"},"body":"# 多租户与服务器部署\n\n多用户服务器模式是指在为多个用户、租户、工作区或集成账户提供服务的后端代码中运行 Copilot SDK。 在此设置中，应用程序拥有请求路由和授权，而 SDK 和运行时提供每会话状态、每会话身份验证和显式工具注册，因此一个用户的会话不会继承其他用户的工具或标识。\n\n\n\n\n\n**最适合：** SaaS 产品、合作伙伴集成、内部平台和处理并发用户的后端服务。\n\n## 在以下情况下使用本指南\n\n构建时，请参阅本指南：\n\n* 一款嵌入了由 Copilot 提供支持的智能体的多用户 SaaS 产品\n* 用于合作伙伴集成的后端，例如 Copilot Studio 或 Fabric 风格的模式\n* 处理并发用户、工作区、租户或请求的任何服务器\n* 共享运行时，其中多个 SDK 客户端连接到一个Copilot运行时进程\n\n本指南是 [缩放和多租户](/zh/copilot/how-tos/copilot-sdk/setup/scaling) 的妹妹。 将该指南用作拓扑、负载均衡和存储模式方面的参考。 对于 SDK 级别选项和运行时隔离选项，请使用本指南。\n\n## 关键 SDK 选项\n\n| 选项 | 将其用于 | 备注 |\n| ------------------------------- | ----------------------- | ---------------------- |\n| `mode: \"empty\"` | 禁用环境 OS 工具和 CLI 默认值 | 多用户或共享场景需要此项。 |\n| `sessionIdleTimeoutSeconds` | 清理空闲会话 | 为长时间运行的进程设置服务器端超时。 |\n| `baseDirectory` | 按运行时实例隔离 `COPILOT_HOME` | 连接到现有运行时时忽略。 |\n| `sessionFs` | 从本地磁盘路由会话文件系统存储 | 与每会话文件系统提供程序配合使用。 |\n| `RuntimeConnection.forUri(url)` | 共享一个已运行的运行时 | 语言名称有所不同;请参阅以下示例。 |\n| 每会话 `gitHubToken` | 将身份验证范围限定为请求用户 | 优先使用此用户令牌，而不是单个共享用户令牌。 |\n\n### `mode: \"empty\"`\n\n默认情况下，`mode: \"empty\"`禁用可选的Copilot CLI 行为。 在多用户服务器模式下，这是安全的基线，因为应用程序必须显式决定会话可以访问的工具、MCP 服务器、技能和工作区路径。\n\n不要对共享服务器使用默认值 `mode: \"copilot-cli\"` 。 该模式适用于类似于 CLI 的编码代理，可以公开环境主机文件系统功能。\n\n
\n
TypeScript
\n\n```typescript\nimport { CopilotClient, RuntimeConnection } from \"@github/copilot-sdk\";\n\n// baseDirectory and sessionIdleTimeoutSeconds apply when the SDK spawns the\n// runtime. With RuntimeConnection.forUri(...) configure COPILOT_HOME and the\n// idle timeout on the runtime process itself.\nconst client = new CopilotClient({\n mode: \"empty\",\n connection: RuntimeConnection.forUri(process.env.COPILOT_RUNTIME_URL!),\n});\n\nconst session = await client.createSession({\n sessionId: `user-${user.id}-${crypto.randomUUID()}`,\n model: \"gpt-5.4\",\n availableTools: [\"custom:lookupOrder\", \"custom:createTicket\"],\n gitHubToken: user.githubToken,\n});\n```\n\n
\n\n
Python
\n\n```python\nfrom copilot import CopilotClient, RuntimeConnection\nfrom copilot.session import PermissionHandler\n\nclient = CopilotClient(\n mode=\"empty\",\n base_directory=f\"/var/lib/my-app/copilot/{runtime_instance_id}\",\n session_idle_timeout_seconds=900,\n connection=RuntimeConnection.for_uri(runtime_url),\n)\nawait client.start()\n\nsession = await client.create_session(\n session_id=f\"user-{user.id}-{request_id}\",\n model=\"gpt-5.4\",\n available_tools=[\"custom:lookupOrder\", \"custom:createTicket\"],\n github_token=user.github_token,\n on_permission_request=PermissionHandler.approve_all,\n)\n```\n\n
\n\n
Go
\n\n```golang\nclient := copilot.NewClient(&copilot.ClientOptions{\n Mode: copilot.ModeEmpty,\n BaseDirectory: fmt.Sprintf(\"/var/lib/my-app/copilot/%s\", runtimeInstanceID),\n SessionIdleTimeoutSeconds: 900,\n Connection: copilot.URIConnection{URL: runtimeURL},\n})\n\nsession, err := client.CreateSession(ctx, &copilot.SessionConfig{\n SessionID: fmt.Sprintf(\"user-%s-%s\", user.ID, requestID),\n Model: \"gpt-5.4\",\n AvailableTools: []string{\"custom:lookupOrder\", \"custom:createTicket\"},\n GitHubToken: user.GitHubToken,\n})\n```\n\n
\n\n
.NET
\n\n```csharp\nvar client = new CopilotClient(new CopilotClientOptions\n{\n Mode = CopilotClientMode.Empty,\n BaseDirectory = $\"/var/lib/my-app/copilot/{runtimeInstanceId}\",\n SessionIdleTimeoutSeconds = 900,\n Connection = RuntimeConnection.ForUri(runtimeUrl),\n});\n\nawait using var session = await client.CreateSessionAsync(new SessionConfig\n{\n SessionId = $\"user-{user.Id}-{requestId}\",\n Model = \"gpt-5.4\",\n AvailableTools = [\"custom:lookupOrder\", \"custom:createTicket\"],\n GitHubToken = user.GitHubToken,\n});\n```\n\n
\n\n
Java
\n\n```java\n// setCopilotHome and setSessionIdleTimeoutSeconds are ignored when\n// setCliUrl is used; configure those on the runtime process instead.\nvar client = new CopilotClient(new CopilotClientOptions()\n .setMode(CopilotClientMode.EMPTY)\n .setCliUrl(runtimeUrl)\n);\n\nvar session = client.createSession(new SessionConfig()\n .setSessionId(\"user-\" + user.id() + \"-\" + requestId)\n .setModel(\"gpt-5.4\")\n .setAvailableTools(List.of(\"custom:lookupOrder\", \"custom:createTicket\"))\n .setGitHubToken(user.gitHubToken())\n).get();\n```\n\n
\n\n
Rust
\n\n```rust\nuse std::path::PathBuf;\nuse github_copilot_sdk::{Client, ClientOptions, Transport};\nuse github_copilot_sdk::mode::ClientMode;\nuse github_copilot_sdk::types::SessionConfig;\n\nlet client = Client::start(\n ClientOptions::new()\n .with_mode(ClientMode::Empty)\n .with_base_directory(PathBuf::from(format!(\n \"/var/lib/my-app/copilot/{runtime_instance_id}\"\n )))\n .with_session_idle_timeout_seconds(900)\n .with_transport(Transport::External {\n host: runtime_host.to_string(),\n port: runtime_port,\n connection_token: None,\n }),\n).await?;\n\nlet session = client.create_session(\n SessionConfig::default()\n .with_session_id(format!(\"user-{}-{request_id}\", user.id))\n .with_model(\"gpt-5.4\")\n .with_available_tools([\"custom:lookupOrder\", \"custom:createTicket\"])\n .with_github_token(user.github_token),\n).await?;\n```\n\n
\n\n
\n\n### `sessionIdleTimeoutSeconds`\n\n在服务器上设置 `sessionIdleTimeoutSeconds` ，以便自动清理非活动会话。 这可以防止长时间运行的进程中的僵尸会话，并减少内存和文件系统压力。\n\n| 语言 | 公开选项 |\n| ---------- | ---------------------------------------- |\n| TypeScript | `sessionIdleTimeoutSeconds` |\n| Python | `session_idle_timeout_seconds` |\n| Go | `SessionIdleTimeoutSeconds` |\n| .NET | `SessionIdleTimeoutSeconds` |\n| Java | `setSessionIdleTimeoutSeconds(...)` |\n| Rust | `with_session_idle_timeout_seconds(...)` |\n\n使用与您的产品会话持续时间相匹配的值。 对于聊天后端，15 到 30 分钟通常是一个很好的起点。 对于工作流代理，请在工作流完成时使用更长的超时时间，并显式执行删除操作。\n\n### `baseDirectory`\n\n`baseDirectory` 为运行时实例设置 `COPILOT_HOME` 。 使用它可以隔离每个进程、Pod、辅助角色或租户边界的运行时状态、凭据和会话数据。\n\n```typescript\nconst client = new CopilotClient({\n mode: \"empty\",\n baseDirectory: `/var/lib/my-app/copilot/runtime-${process.env.HOSTNAME}`,\n sessionIdleTimeoutSeconds: 900,\n});\n```\n\n运行时会将会话状态存储在已配置的 `COPILOT_HOME` 下，包括 `session-state/{sessionId}`。 如果应用运行多个运行时实例，请为每个实例提供一个不同的目录，除非有意使用共享存储。\n\n当 SDK 使用 `RuntimeConnection.forUri(url)` 连接到已在运行的运行时时，`baseDirectory` 会被 SDK 客户端忽略。 请改为在运行时进程中进行配置 `COPILOT_HOME` 。\n\n### `sessionFs`\n\n`sessionFs` 注册一个自定义会话文件系统提供程序，使会话范围内的文件 I/O 可通过应用程序存储而非运行时的本地磁盘进行处理。 当本地磁盘是临时磁盘、会话状态需要位于对象存储中时，或者当平台需要强制实施租户感知存储路径时，请使用它。\n\n```typescript\nconst client = new CopilotClient({\n mode: \"empty\",\n sessionFs: {\n initialCwd: \"/workspace\",\n sessionStatePath: \"/session-state\",\n conventions: \"posix\",\n },\n});\n```\n\n对于公开提供程序回调的语言，请在客户端级别配置 `sessionFs`，并在创建或恢复会话时提供每会话文件系统处理程序。 请参阅 [会话恢复和持久性](/zh/copilot/how-tos/copilot-sdk/features/session-persistence) 了解持久性概念和存储权衡。\n\n已验证的公共 SDK 图面：\n\n| 语言 | 客户端级配置 | 每会话提供程序 |\n| --------------------------------- | ---------------------- | ------------------------------- |\n| TypeScript | `sessionFs` | |\n| `createSessionFsAdapter` / 提供程序回调 | | |\n| Python | `session_fs` | `create_session_fs_handler` |\n| Go | `SessionFS` | `CreateSessionFSProvider` |\n| .NET | `SessionFs` | `CreateSessionFsProvider` |\n| Rust | `with_session_fs(...)` | `with_session_fs_provider(...)` |\n\nJava当前不公开已验证的公共 `sessionFs` 选项，因此本指南不显示 Java `sessionFs` 示例。\n\n### `RuntimeConnection.forUri(url)`\n\n当多个 SDK 客户端应共享一个已运行的运行时时，请使用外部运行时连接。 这在后端服务中很常见，其中运行时进程独立于请求处理程序进行管理。\n\n| 语言 | 外部运行时连接 |\n| ---------- | ------------------------------------------------------ |\n| TypeScript | `RuntimeConnection.forUri(url)` |\n| Python | `RuntimeConnection.for_uri(url)` |\n| Go | `copilot.URIConnection{URL: url}` |\n| .NET | `RuntimeConnection.ForUri(url)` |\n| Java | `setCliUrl(url)` |\n| Rust | `Transport::External { host, port, connection_token }` |\n\n外部运行时管理自己的进程级身份验证和存储。 当需要用户专属身份验证时，请在 `createSession` 或 `resumeSession` 上传递每会话令牌。\n\n### 每会话 `gitHubToken`\n\n在每个会话上设置 `gitHubToken`，以将GitHub身份验证范围限定为请求用户。 这不同于对运行时进程进行身份验证的客户端级别令牌。\n\n```typescript\nconst session = await client.createSession({\n sessionId: `user-${user.id}-support`,\n model: \"gpt-5.4\",\n availableTools: [\"custom:*\"],\n gitHubToken: user.githubToken,\n});\n```\n\n使用按会话令牌来实现内容排除、模型路由、配额检查和用户专属的 Copilot 访问权限。 除非产品有意使用服务帐户语义，否则请避免在用户之间共享一个服务令牌。\n\n## 集成标识\n\n构建品牌化智能体的合作伙伴可以为任务控制请求设置集成 ID。 运行时读取 `GITHUB_COPILOT_INTEGRATION_ID`，并在每个任务控制请求上将其标记为 `Copilot-Integration-Id` HTTP 标头。\n\n```bash\nGITHUB_COPILOT_INTEGRATION_ID=my-product-agent copilot --headless --port 4321\n```\n\n默认集成 ID 为 `copilot-developer-cli`。 使用稳定的值，例如 `my-product-agent` 属性和路由。 集成 ID 当前仅由环境变量配置;它不是一流的 SDK 选项。\n\n如果 SDK 生成运行时，请通过客户端环境选项传递环境变量。 如果通过 `RuntimeConnection.forUri(url)` 进行连接，请直接在运行时进程本身中设置环境变量。\n\n## 会话级隔离保障\n\n会话级别隔离意味着运行时将用户特定的模型和状态信息限定为会话，而不是处于全局共享状态。\n\n| Surface | 隔离行为 |\n| -------------------------------------------------- | -------------------------------------------------- |\n| 模型列表缓存 | 每会话。 模型查找使用会话的模型列表缓存。 |\n| 会话状态 | |\n| `COPILOT_HOME/session-state/{sessionId}` 下的每会话 ID。 | |\n| GitHub标识 | 在会话上设置 `gitHubToken` 时的每会话。 |\n| 工具 | 在 `mode: \"empty\"` 中显式；在 `mode: \"copilot-cli\"` 中隐式。 |\n| 主机文件系统 | 如果主机工具可用，则由运行时进程共享。 |\n\n`mode: \"empty\"` 是使共享运行时模式可行：除非应用程序注册或允许它们，否则不会公开任何环境 OS 工具。 通过 `mode: \"copilot-cli\"`主机进程共享 OS 文件系统访问权限，因此不要将该模式用于多用户服务器模式。\n\n除非通过 `COPILOT_HOME/session-state/{sessionId}` 路由会话状态，否则会话状态将存储在 `sessionFs` 下。 使用包含你自己的租户或用户边界的唯一会话 ID，并在恢复或删除会话之前强制实施访问控制。\n\n## 模式比较\n\n| 图案 | 何时使用 | Trade-offs |\n| ----------------------------- | ---------------------------------------- | -------------------------------------------------------------------------------------- |\n| 模式 1：每位用户一个独立的 CLI | 每个用户需要最强的隔离边界或单独的进程凭据。 | 强隔离;资源成本更高。 请参阅“[缩放和多租户](/zh/copilot/how-tos/copilot-sdk/setup/scaling)”。 |\n| 模式 2：使用共享 CLI `mode: \"empty\"` | 你希望一个运行时在应用控制工具、身份验证和会话 ID 的同时为多个用户提供服务。 | 高效；但要求仔细进行工具注册、为每个会话配置令牌，并执行应用程序级访问检查。 |\n| 模式 3：混合 | 将计算密集型工作路由到云会话，并将轻量工作路由到本地会话。 | 灵活；需要工作负载路由和策略处理。 请参阅“[云会话](/zh/copilot/how-tos/copilot-sdk/features/cloud-sessions)”。 |\n\n### 模式 2：使用共享 CLI `mode: \"empty\"`\n\n在此模式中，所有用户都通过后端连接到一个运行时池。 应用程序执行用户身份验证，选择会话 ID，在会话上传递用户的GitHub令牌，并提供显式工具允许列表。\n\n![图示：显示所述过程的流程图。](/assets/images/help/copilot/copilot-sdk/setup-multi-tenancy-diagram-0.png)\n\n使用以下规则：\n\n* 始终在`mode: \"empty\"`中启动客户端或运行时。\n* 使用唯一会话 ID 并在应用程序数据库中存储所有权元数据。\n* 在执行 `resumeSession`、`deleteSession` 或任何引用会话 ID 的 UI 操作之前，请先检查所有权。\n* 当请求应以用户身份运行时，请在每个会话中传递 `gitHubToken`。\n* 仅注册会话所需的工具，并首选源限定的允许列表，例如 `custom:*` 或 `mcp:search_docs`。\n* 显式设置 `sessionIdleTimeoutSeconds`，并删除已完成的工作流会话。\n\n## 常见陷阱\n\n* 忘记 `mode: \"empty\"`。 默认 `copilot-cli` 模式公开 CLI 样式的行为，并且可能通过环境工具公开主机文件系统。\n* 未设置 `sessionIdleTimeoutSeconds`。 如果长期运行的服务器不清理空闲会话，就可能会积累这些空闲会话。\n* 在用户之间共享同一个 `gitHubToken`，而不是传递每会话令牌。\n* 信任客户端提供的会话 ID，而无需检查后端的所有权。\n* 在连接到现有运行时的客户端上设置 `baseDirectory`，并期望这会迁移运行时存储。 改为配置运行时进程。\n* 允许广泛的工具模式，例如 `builtin:*` ，无需查看每个工具是否适合你的用户。\n\n## 另请参阅\n\n* [缩放和多租户](/zh/copilot/how-tos/copilot-sdk/setup/scaling)：部署拓扑、存储模式和隔离比较\n* [后端服务设置](/zh/copilot/how-tos/copilot-sdk/setup/backend-services)：在无外设服务器模式下运行运行时\n* [BYOK （自带密钥）](/zh/copilot/how-tos/copilot-sdk/auth/byok)：使用您自己的模型提供商凭据\n* [云会话](/zh/copilot/how-tos/copilot-sdk/features/cloud-sessions)：将所选工作路由到云会话\n* [会话恢复和持久性](/zh/copilot/how-tos/copilot-sdk/features/session-persistence)：管理可恢复会话状态\n* [功能](/zh/copilot/how-tos/copilot-sdk/features)：工具、事件、挂钩和高级 SDK 功能"}