# login

登录走官网 OAuth。Agent 只调用：

```powershell
"{baseDir}/bin/drowup.exe" login
```

终端会打印授权链接（stderr）。把链接发给用户打开。若 Desktop 已用头像登录，CLI 发现 `%APPDATA%\drowup\oauth.json` 后直接复用，不必再开浏览器。

`save-token` 与 `--token` 已下线，不要让用户贴 API Key。`login web` 等同于 `login`。

stdout 只有 `{"saved":true,"path":"...","via":"desktop"|"oauth"}`，不要把 token 打进回复或日志。

云端默认 `https://api.drowup.com`。用户说本地：

```powershell
"{baseDir}/bin/drowup.exe" set-base-url "http://localhost:8888"
```

登录后只认 `%APPDATA%\drowup\oauth.json`。`DROWUP_DESKTOP_ACCESS` / `DROWUP_ACCESS_TOKEN` 只在还没 login、也没有 oauth.json 时当兜底。

## 不要做

- 不要弹输入框让用户贴 JWT 或 API Key
- 不要把 token 写进 URL、文件名、安装提示词
- 不要去画布 CLI/API 页生成 Key
