一、你最担心的那个问题#

「我想用 mccbot 托管我的假人，但平台会不会看到我的 LittleSkin 密码？」

这是用户问得最多的问题。短答：不会。mccbot 不存你的密码，也拿不到你的密码。

长答见下文。

二、问题的本质：托管 = 信任#

托管假人意味着让一个程序替你登录 Minecraft 服务器，这必然涉及三样东西：

• 你的 Minecraft 账号凭据
• 你的登录状态（session）
• 你的游戏内行为（移动、聊天、挖矿）

传统做法是「密码托管」：你把 LittleSkin 账号密码交给平台，平台替你登录。这有个致命问题——密码一旦交出去，平台能做任何事：改密码、删角色、消费余额、关联到其他使用 LittleSkin 登录的服务。

更好的做法是「令牌托管」：你不交密码，只交一个临时令牌，令牌只能做有限的事，且随时可以撤销。

mccbot 用的就是后者，具体是 LittleSkin 的 OAuth2 协议。

三、OAuth2 是什么：用微信登录的类比#

OAuth2 是一种「授权码」协议。如果你用过「用微信登录」「用 GitHub 登录」「用 Google 登录」，那就是 OAuth2。

核心思想：你不把密码给第三方，只给一个授权码，第三方拿授权码去微信换 token，token 只能访问你授权的那部分功能。

在 mccbot 场景里：

你授权 mccbot 拿到的是一个 token，这个 token 只能用来换取 Minecraft 的登录 token，不能用来改你的 LittleSkin 密码、不能用来消费你的 LittleSkin 余额、不能用来登录 LittleSkin 网站。

四、授权流程：你在浏览器里发生了什么#

1
1. 你在 mccbot 网页点「LittleSkin OAuth 授权」
2
        │
3
        ▼
4
2. mccbot 把你跳转到 LittleSkin 的授权页：
5
   https://littleskin.cn/oauth/authorize?client_id=...&scope=...
6
        │
7
        │  ⚠ 关键：这一步是浏览器直接连到 LittleSkin
8
        │           mccbot 完全不参与
9
        ▼
10
3. 你在 LittleSkin 输入账号密码、点「同意授权」
11
        │
12
        │  ⚠ mccbot 看不到你的密码
13
        ▼
14
4. LittleSkin 把你跳回 mccbot，URL 里带一个 code 参数
15
        │
16
        ▼
17
5. mccbot 拿这个 code 去 LittleSkin 换 access_token
18
   （服务器到服务器，但只换 token，不换密码）
19
        │
20
        ▼
21
6. mccbot 用 access_token 去 Yggdrasil API 换 mc_access_token
22
        │
23
        ▼
24
7. mccbot 把 mc_access_token 写进 MCC 的 SessionCache.db
25
   MCC 启动时直接复用，进服成功

整个流程里，mccbot 全程没见过你的 LittleSkin 密码。LittleSkin 密码只出现在第 3 步，且只在你的浏览器和 LittleSkin 之间。

五、平台拿到了什么 / 拿不到什么#

六、Token 怎么存、怎么刷新#

Minecraft accessToken 有效期约 24 小时，过期了 MCC 进服会失败。mccbot 做了自动刷新，你授权一次，永久免维护：

1
每次启动 / 重启实例前：
2
   │
3
   ▼
4
refresh_yggdrasil_token()
5
   │
6
   ├─ 用 refresh_token 调 /oauth/token 换新 access_token
7
   │
8
   ├─ 用新 access_token 调 Yggdrasil /authserver/refresh
9
   │     换新 mc_access_token
10
   │
11
   ├─ 写回 Redis（长期保存）
12
   │
13
   └─ 写回 SessionCache.db（MCC 启动时复用）
14

15
MCC 启动 → 直接用新 token 进服 → 不需要密码

用户视角：你授权一次，平台永久帮你续 token。只要你不主动 revoke，假人就能一直挂着。

安全视角：refresh_token 只在 mccbot 内部使用，不暴露给任何外部服务。LittleSkin 也不存 refresh_token，它只是签发方，签发完就忘。

七、平台其他安全保障#

1
用户网页输入 QQ
2
   ↓
3
提示「请私聊机器人发送：登录」
4
   ↓
5
用户私聊 neobot「登录」
6
   ↓
7
neobot 生成一次性 login_token（5 分钟有效）
8
   ↓
9
neobot 把 login_token 私聊给你
10
   ↓
11
你在网页输入 → 换 session_token（7 天有效）

八、三种登录方式对比#

mccbot 支持三种 Minecraft 账号登录方式，安全级别递增：

如果你有 LittleSkin 账号，强烈建议用 OAuth2。密码托管方式只是为不支持 OAuth2 的旧版账号保留的兼容方案。

九、你能做什么：用户侧的安全建议#

平台做了很多，但账号安全的第一道防线还是你自己。建议：

1. 优先用 OAuth2，不用密码托管 LittleSkin 账号密码尽量不要交给任何第三方，包括 mccbot
2. 定期检查 LittleSkin 授权列表 发现不再用的应用及时 revoke，授权列表保持精简
3. 开启 Passkey 减少 session_token 被钓鱼的风险，指纹比 token 难偷
4. 不要把 login_token 截图发给别人 虽然只有 5 分钟有效，但足够让人登录你的账号
5. 不要在公共电脑登录 mccbot session_token 存浏览器 localStorage，下机前手动退出
6. 借用假人到期前主动归还 避免假人停在不该停的地方，也方便别人继续借用
7. 怀疑账号被盗，先 revoke mccbot 单方面撤销授权，比改密码快，比删账号安全

十、设计回顾：最小信任#

mccbot 的安全设计核心是「最小信任」——平台只拿必须拿的，能不拿的都不拿：

你授权 mccbot 的，只是「替你的假人登录 Minecraft 服务器」这一件事。其他一切，平台都拿不到。

如果未来你不再使用 mccbot，只需要做两件事：

1. 去 LittleSkin 把 mccbot 的 OAuth2 授权 revoke
2. 在 mccbot 网页删除你的私有实例

完成这两步，mccbot 手里关于你的所有可用凭据全部失效，相当于「分手快乐」。

附录：技术实现细节见 oauth.py / microsoft_auth.py / passkey.py / crypto.py / auth.py。