JWT Token 网页登录

GET /account/tokenLogin.do

用于在已开启 JWT 登录的私有化环境中，以指定用户身份进入网盘网页。它建立网页访问会话，不等于取得业务 API 的 access_token。

URL 查询参数

参数	要求与说明
`userToken`	必填；可信服务端生成的签名 JWT，携带用户的 `email`、`phone` 或 `babelId` 信息
`fileId`	可选；进入指定文件或文件夹，不填进入用户根目录
`onlyFileList`	值为 `1` 时，仅显示文件列表页面，隐藏其他频道
`closeTitleBar`	可选；1 隐藏标题栏，0 不隐藏，默认 0
`disableEntMark`	可选；1 隐藏企业标识，默认 0
`disableUserMark`	可选；1 隐藏用户设置入口，默认 0
`defaultLang`	可选；cn 中文、en 英文、zh-HK 繁体，默认 cn
`defaultClrTheme`	可选；normal 标准、dark 深色，默认 normal

示例：

/account/tokenLogin.do?userToken=<JWT_TOKEN>&fileId=<FILE_ID>&onlyFileList=1

用户身份与安全

已确认可通过邮箱 email、手机号 phone 或工号 babelId 标识用户。这些用户信息由 userToken 中的 JWT 携带，与用于开发者授权的 jwt_token 区分。

当前部署已确认的邮箱登录 claims 如下（身份及时间为示例值）：

{
  "duration": 60,
  "payload": {"email": "user@example.com"},
  "time": 1790000000000
}

time 是生成 userToken 时的 Unix 毫秒时间戳，duration 是该 JWT 的有效秒数；样例 60 表示 60 秒，不代表固定值或默认值。邮箱字段位于 payload.email，不要把手机号或工号填入邮箱字段。本次结构确认适用于当前部署，详见 JWT 声明结构与有效期。

JWT 在此用于签名认证，不是载荷加密。仅在可信服务端生成短期凭证；使用 HTTPS，妥善控制访问日志中的 URL，避免泄露 Token。登录身份必须经过业务系统授权校验，不能直接接受任意前端指定的用户。

隐藏标题栏、企业标识或用户入口只是界面选项，不会提高调用权限，也不能替代文件访问控制。