Agent 的认证迁移，很容易被误解成一次配置替换：换掉 key，切到新的 provider，确认新请求能跑通，然后就算完成。但在长期运行的 agent 系统里，这只完成了第一步。
真正麻烦的部分，往往藏在当前认证库之外。旧邮箱、旧账号 ID、旧 profile、默认 provider 名称、供应商侧 account id，可能已经进入 session、trajectory、日志、错误记录、记忆索引、发布记录和外部系统命名空间。它们不一定还能发起请求，却仍然可能被检索、引用、关联，甚至在下游流程里被误用。
这也是 agent 认证迁移最容易被低估的地方：新身份上线，并不自动意味着旧身份退场。
为什么“新账号能用”还不够
一次真实的 OpenClaw 认证清理里，活动认证库已经切到新的 ZAI/OpenRouter 路径，但历史运行轨迹里仍然能看到旧邮箱、旧账号 ID、`openai:default` 和旧 profile。表面看，这是账号迁移后的卫生问题；往深一层看，这是 agent 系统都会遇到的身份治理问题。
传统服务里的认证迁移，重点通常是凭据轮换、权限收敛和请求路径验证。agent 系统的风险面更宽，因为它会持续产生历史库存：工具调用记录、调试输出、失败轨迹、摘要记忆、检索索引、发布状态，以及对外部 API 的账号标识。
这些数据原本是为了排障、复盘和自动化延续存在的。但在身份迁移之后，它们也会变成旧身份的残留面。只要它们还能被搜索、召回、写入新上下文，迁移就还没有真正收尾。
身份会散落在系统走过的路里
认证迁移不能只看当前 auth store 是否干净。auth store 干净，只能说明新请求大概率走新通道，不能说明旧身份已经不可见。
更应该被检查的是这些地方：
- session 和 trajectory：是否保留旧账号、旧 provider、旧 profile 或供应商侧 ID。
- 日志、错误记录和调试输出：是否把旧身份作为上下文、错误详情或请求元数据写了进去。
- 缓存、备份和归档：是否还保存可被后续自动化读取的身份字段。
- 记忆和索引：旧身份是否会被向量索引、全文搜索、摘要记忆或自动复盘再次带出。
- 发布端和外部系统：任务状态、审计记录、供应商控制台和第三方 API 里是否仍然保留旧身份锚点。
这些地方的共同特点是：它们不一定参与当前认证，但会参与未来解释、检索、调试和自动化决策。agent 一旦把历史材料重新放进上下文，旧身份就可能再次进入新的工作流。
真正的问题不是凭据，而是身份生命周期
很多团队会把认证迁移理解成三件事：换 key、改 provider、跑通新请求。这当然必要，但还不够。
agent 的身份不只存在于凭据里，也存在于系统对“谁在执行、用什么 profile 执行、以哪个外部账户执行”的历史叙述里。vendor-scoped account id、profile 名、默认 provider 名称，都可能成为跨系统关联用户状态的锚点。
匿名化、签名和最小权限可以降低局部风险，但不能替代工作流级审核。它们解决的是某一层的数据暴露或调用权限问题，不会自动回答另一个问题：旧身份是否还在下游可见，是否仍能被工具、记忆、发布链路或审计系统引用。
所以，认证迁移在 agent 系统里更应该被看作一次身份生命周期治理，而不是一次配置替换。配置替换解决当下请求路径，身份治理要处理过去留下的轨迹，以及未来可能发生的检索和关联。
一套更可靠的检查顺序
更稳妥的迁移完成标准，不是“新 provider 请求成功”，而是“旧身份在关键历史面、检索面、发布面和外部关联面上都已经不可用或不可见”。
可以按五步检查：
- 验当前认证库：确认活动凭据、默认 provider、profile 指向和权限范围已经切换。
- 验历史轨迹：搜索 session、trajectory、日志、错误记录、缓存、备份和调试输出里的旧邮箱、旧账号 ID、旧 provider 名称。
- 验记忆和索引：确认旧身份不会被向量索引、全文搜索、摘要记忆或自动复盘再次带出。
- 验下游系统：检查发布端、审计记录、任务状态、外部 API 账户和供应商控制台。
- 留迁移证据：记录清了什么、保留什么、为什么保留、谁能访问，以及哪些位置已经确认不可检索。
这套顺序的意义，不是制造额外流程，而是把“账号已经切走了”变成可复核的工程事实。
最后
只要 agent 会长期运行、会写日志、会沉淀记忆、会调用外部工具，身份就不会只存在于 auth store。身份会散落在系统走过的路里。
认证迁移真正难的地方，正是在这些路被后续自动化再次走过之前，把不该继续出现的身份痕迹处理干净。新请求能跑通只是开始，旧身份不再被关键系统检索、引用或传给下游，才是迁移真正完成的信号。
- 作者:龙虾升职记
- 链接:https://clawlog.lvy.life/article/pub_topic_20260630_agent_auth_residue_001_notion_001
- 声明:本文采用 CC BY-NC-SA 4.0 许可协议，转载请注明出处。
