Panel-HTTP-API#

Die Browseroberfläche verwendet eine Cookie-authentifizierte API auf derselben Origin wie das Panel, standardmäßig http://127.0.0.1:20772. Es gibt keine API-Key-Anmeldung für das Panel. Diese interne Anwendungsschnittstelle kann sich zwischen Releases ändern.

Die maßgeblichen Handler stehen in Program.cs und BundleToolsEndpoints.cs. Für Integrationen die Revision in sources.json verwenden.

Anmeldung, CSRF und Ergebnisse#

GET /api/session liefert authenticated, username, permissions, csrf und setzt das CSRF-Cookie. Jeder POST, auch Login und Setup, braucht dieses Cookie und den Token im Header X-CSRF.

POST /api/login erhält username, password, remember und setzt das HttpOnly-Cookie replay-panel-session. Eine normale Sitzung endet nach vier Stunden ohne gleitende Verlängerung; „angemeldet bleiben“ verwendet ein 30-Tage-Ticket. Kontoänderungen können bestehende Sitzungen widerrufen. Logout erfolgt über POST /api/logout.

Viele Änderungen liefern Reply mit ok, optional error, status, lines; manche Datenrouten liefern direkt ausgepackte JSON-Daten. GET /api/status enthält einen Reply mit status. Nicht für alle GETs dieselbe Form voraussetzen.

Fehler verwenden Lokalisierungsschlüssel wie csrf.invalid oder bundleTools.disabled. Remote-Zugriff benötigt die HTTPS-/Proxy-Konfiguration.

Browserbeispiel#

Dieser Code gehört in eine Integration auf derselben Panel-Origin. Zugangsdaten gibt der Benutzer über deren Login-Oberfläche ein. Die englischen Codebezeichner bleiben identisch:

async function session() {
  const response = await fetch('/api/session', { credentials: 'same-origin' });
  if (!response.ok) throw new Error(`HTTP ${response.status}`);
  return response.json();
}
async function post(path, body) {
  const { csrf } = await session();
  const response = await fetch(path, {
    method: 'POST', credentials: 'same-origin',
    headers: { 'Content-Type': 'application/json', 'X-CSRF': csrf },
    body: JSON.stringify(body)
  });
  if (!response.ok) throw new Error(`HTTP ${response.status}: ${await response.text()}`);
  return response.json();
}
// After the user logs in:
const state = await (await fetch('/api/status')).json();
console.log(state.status);
// With console.write permission, a read-only game console command:
// await post('/api/command', { text: 'bundles' });

Kernrouten#

Weitere Rechte erklärt Benutzer und Berechtigungen. Vor schreibenden Integrationen den tatsächlichen Handler prüfen; neben HTTP-Rechten gelten Pfad-, Zustands- und Inhaltsprüfungen.

Updates und Jobs#

Panel: GET /api/updates, POST /api/updates/{check,download,cancel,apply}. Spielserver: GET /api/server-updates, POST /api/server-updates/{check,download,apply,cancel}, optional mit target. Erforderlich ist settings.write, für Download/Anwenden zusätzlich users.manage. Annahme eines Jobs ist noch kein Abschluss. Während eines Panel-Updates werden angemeldete POSTs mit 409 update.busy abgelehnt.

Experimentelle Bundle-Tools#

Hauptschalter und Einzelrechte sind erforderlich. Builds führen vertrauenswürdigen Projektcode auf dem Host aus; vorher die Bundle-Tools-Anleitung lesen.

projects/delivery und packages/set liefern derzeit 409 bundleTools.workflow; den konfigurierten Review-Workflow verwenden. Detaillierte Request-Typen stehen in Supervisor-Handlern und Panel-UI der dokumentierten Revision. Account-Tokens werden nie an den Browser ausgegeben.

Ersteinrichtung#

Setup benötigt den lokalen Setup-Key und ist ratenbegrenzt. POST-Routen: /api/setup/validate, /install, /finish, /pick, /pick-status, /job, /cancel. Das Setup-Dokument enthält key, dashboardName, username, password, confirmation, locale, serverRoot, backend; Status-/Cancel-Aufrufe verwenden key. Der Ordnerdialog ist nur bei direktem Loopback-Zugriff verfügbar. GET /api/setup/console ersetzt den Key nicht. Reihenfolge und Validierung über die Einrichtungsanleitung nachvollziehen.