课程章节介绍
同学们，我们接着来看怎么设置代理API。这一步其实就是在Salesforce里建一个专用的“钥匙”，让咱们的代理程序能安全地跟Salesforce对话。
首先，你需要创建一个“外部客户端应用程序”。别被名字吓到，它只是个配置项，告诉Salesforce“我这个程序要来访问API了”。创建的时候，要勾选一组合适的OAuth范围，至少要包括这四个：api、refresh_token、chatbot_api、sfap_api。api是基本的API访问能力，refresh_token能让令牌自动续期，后面两个是Agentforce专门要用的。勾上这些，咱们的代理才能正常工作。
接下来，要在这个应用程序里启用两种认证方式：客户端凭据流和基于JWT的访问令牌。客户端凭据流简单说就是，程序自己拿凭证去换令牌，不需要用户交互，特别适合后台自动运行的代理。而JWT令牌呢，就是用它来签发更安全的访问凭证。
还有一点，一定要指定一个“运行方式用户”。这个用户只用来跑后台任务，权限最小化就行，所以给他一个“仅API访问”的权限就够了。这样就算凭证泄露，别人也干不了太多坏事。
创建完后，你就会拿到两个重要的字符串：消费者密钥和消费者机密。把它们复制下来保存好，相当于这个应用程序的账号密码。
那怎么拿到第一个访问令牌呢？用一条curl命令，往Salesforce的OAuth令牌端点发个请求。端点地址要写成“我的域名”那种格式，比如 `https://你的域名.my.salesforce.com/services/oauth2/token`。注意，千万别把浏览器地址栏里那个 `lightning.force.com` 的URL直接拿来用，那个是用户界面的地址，API认证要走“我的域名”这个专用入口。
curl命令发出去后，返回的响应里会有一个叫 `access_token` 的字段，这就是基于JWT的访问令牌。之后所有代理API的调用，都要在请求头里带上这个token，Salesforce才认你是一个合法的代理程序。
简单总结一下：创建应用→选对范围→启用正确的认证方式→配好最小权限用户→记下密钥→用我的域名去换token。这样代理API的身份基础就搭好了。大家跟着操作一遍，就不会觉得复杂了。