pleumrouter 0.5.6 → 0.5.8

package/README.md

@@ -17,7 +17,7 @@ bun install -g pleumrouter                          # bun
 ## 빠른 시작
 
 ```bash
-npx pleumrouter login                          # 브라우저 로그인 + 키 자동 저장
+npx pleumrouter login                          # 브라우저 OAuth 로그인 (API 키 없음)
 npx pleumrouter launch claude --model claude-sonnet-5
 npx pleumrouter launch codex  --model gpt-5.3-codex
 npx pleumrouter run gpt-5.4-mini                     # 터미널 채팅
@@ -25,20 +25,22 @@ npx pleumrouter run gpt-5.4-mini "한 줄 요약: ..."   # 1회 실행(스크립
 cat error.log | npx pleumrouter run gpt-5.4-mini "원인은?"   # 파이프
 ```
 
+로그인 후 `~/.pleum/config.json`에 access/refresh 토큰이 저장됩니다. `plm_` API 키는 발급되지 않습니다.
+SSH/CI에서는 `pleum login --device`를 쓰세요.
 ## 명령
 
 | 명령 | 설명 |
 |------|------|
 | `pleum` | (인자 없음, TTY) 인터랙티브 런처 메뉴 — 키보드 전용. ↑/↓ 이동 · enter 실행 · → 모델 설정 · esc 종료(서브메뉴에선 뒤로) · ctrl+c 즉시 종료. "에이전트 실행" 진입 시 Claude Code·Codex·opencode·omp·Hermes Agent·Qwen Code·GitHub Copilot CLI 등 지원 에이전트 전체를 설치 여부와 함께 볼 수 있고, 미설치는 확인 후 자동 설치(또는 설정 파일 안내). "설정" 진입 시 언어·에이전트별 기본 모델·계정(로그인/로그아웃)·CLI 업데이트·셸 자동완성을 한곳에서 관리. 실행 종료 후 메뉴 복귀. 파이프에선 도움말 출력 |
-| `pleum login [--device]` | 브라우저로 로그인 → CLI가 API 키를 자동 발급·저장(`~/.pleum/config.json`). `--device`는 SSH·CI |
-| `pleum logout` | 저장된 API 키만 삭제(언어·기본 모델 등 나머지 설정은 유지) |
+| `pleum login [--device]` | 브라우저 OAuth 로그인 → access/refresh 토큰을 `~/.pleum/config.json`에 저장(API 키 미발급). `--device`는 SSH·CI |
+| `pleum logout` | 서버 세션 revoke + 로컬 토큰 삭제(언어·기본 모델 등 나머지 설정은 유지) |
 | `pleum launch [tool] [--model id] [-- args]` | 에이전트 실행. `--` 뒤 인자는 도구로 그대로 전달. 도구 생략 시 지원 목록·설치 여부 표시 |
 | `pleum run [model] ["프롬프트"] [--attach image]` | 채팅 — 대화형 REPL, 1회 실행, stdin 파이프. 모델 생략 시 화살표로 선택. 이미지 업로드는 명시적으로 `--attach ./shot.png`(1회 실행) 또는 REPL의 `@./shot.png`를 사용한다. `--skip-cache`(이번 요청 응답 캐시 스킵), `--tag a,b`(리포팅 태그, ≤10) |
 | `pleum models [query] [--json]` | 모델 목록(공개) — provider·컨텍스트·가격(₩/1M) 컬럼, `--json`은 스크립트용 |
 | `pleum models <id> --info` | 모델 상세 — 가격·컨텍스트·provider별 지연/처리량/업타임·주간 사용량·형제 모델 |
 | `pleum top [--period daily\|weekly\|monthly]` | 라우터 전체 모델 리더보드 + 제공자 점유율(공개 통계) |
 | `pleum balance` | 크레딧 잔액 조회 |
-| `pleum usage [--by model\|provider\|api_key\|day] [--days N]` | 내 지출 리포트(막대 차트) — 최신 로그인 키 필요(`usage:read`) |
+| `pleum usage [--by model\|provider\|api_key\|day] [--days N]` | 내 지출 리포트(막대 차트) — OAuth 로그인 세션 필요 |
 | `pleum health` | 게이트웨이 연결·DB·Redis·환율·로그인 상태 점검(셀프호스트 진단용) |
 | `pleum lang [code]` | 표시 언어 조회/변경 — `en`(기본)·`ko`·`ja`·`zh`·`es`. 인자 없이 TTY면 화살표로 선택, `PLEUM_LANG` 환경변수로도 덮어쓰기 가능 |
 | `pleum completion <zsh\|bash>` | 셸 자동완성 스크립트 출력 |
@@ -78,7 +80,7 @@ env(또는 격리된 `CODEX_HOME`/임시 설정 문자열)만 세팅하고 바
 
 ## 환경변수
 
-- `PLEUM_BASE_URL` — 게이트웨이 루트 덮어쓰기(기본 `https://apirouter.pleum.ai`). 셀프호스트/스테이징용.
+- `PLEUM_BASE_URL` — 게이트웨이 루트 덮어쓰기(기본 `https://router.pleum.ai`). 셀프호스트/스테이징용.
 
 ## 개발
 

package/bin/pleum.mjs

@@ -10,7 +10,7 @@ import { top } from "../src/top.mjs";
 import { health } from "../src/health.mjs";
 import { completion } from "../src/completion.mjs";
 import { upgrade } from "../src/upgrade.mjs";
-import { readConfig, writeConfig, clearCredentials } from "../src/config.mjs";
+import { readConfig, writeConfig, clearCredentials, V1 } from "../src/config.mjs";
 import { mainMenu } from "../src/menu.mjs";
 import { lang } from "../src/lang.mjs";
 import { RECIPES } from "../src/recipes.mjs";
@@ -21,9 +21,9 @@ import { sanitizeTerminalText } from "../src/ansi.mjs";
 function buildHelp() {
   const rows = [
     ["pleum", t("(no args) interactive launcher menu — keyboard only (TTY only)")],
-    ["pleum login [--device]", t("Log in via browser + auto-save the key")],
+    ["pleum login [--device]", t("Log in via browser (OAuth session, no API key)")],
     ["", t("--device: browser-less environments (SSH/CI)")],
-    ["pleum logout", t("Delete the saved key")],
+    ["pleum logout", t("Revoke session and clear local tokens")],
     ["pleum launch [tool] [--model id]", t("Run a coding agent against PleumRouter")],
     ["", `(${Object.keys(RECIPES).join(" · ")})`],
     ["", t("omit the tool to see the supported list and install status")],
@@ -87,7 +87,14 @@ try {
       break;
     case "logout": {
       const cfg = readConfig();
-      if (cfg) writeConfig(clearCredentials(cfg)); // 로그인 이력 없으면(cfg=null) 빈 파일을 새로 만들지 않는다
+      if (cfg?.access_token) {
+        // best-effort server revoke — 실패해도 로컬 자격증명은 지운다.
+        await fetch(`${V1}/auth/logout`, {
+          method: "POST",
+          headers: { Authorization: `Bearer ${cfg.access_token}` },
+        }).catch(() => {});
+      }
+      if (cfg) writeConfig(clearCredentials(cfg));
       console.log(`✓ ${t("Logged out")}`);
       break;
     }

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "pleumrouter",
-  "version": "0.5.6",
+  "version": "0.5.8",
   "description": "Official PleumRouter terminal CLI — launch any coding agent against PleumRouter.",
   "type": "module",
   "bin": {

package/src/balance.mjs

@@ -1,11 +1,7 @@
-import { V1 } from "./config.mjs";
-import { requireKey } from "./config.mjs";
+import { authFetch } from "./config.mjs";
 
 export async function balance() {
-  const key = requireKey();
-  const res = await fetch(`${V1}/credits`, {
-    headers: { Authorization: `Bearer ${key}` },
-  });
+  const res = await authFetch("/credits");
   if (!res.ok) {
     const body = await res.text().catch(() => "");
     console.error(`잔액 조회 실패 (HTTP ${res.status})${body ? `: ${body}` : ""}`);

package/src/config.mjs

@@ -3,9 +3,8 @@ import { join } from "node:path";
 import { readFileSync, writeFileSync, mkdirSync } from "node:fs";
 import { t } from "./i18n.mjs";
 
-// 공개 게이트웨이 루트(canonical API). 셀프호스트/스테이징은 PLEUM_BASE_URL로 덮어쓴다.
-// Compat: https://router.pleum.ai 도 180일+ 유지(프론트 /v1 rewrite). 신규 기본은 apirouter.
-export const ROOT = (process.env.PLEUM_BASE_URL ?? "https://apirouter.pleum.ai")
+// 공개 게이트웨이 루트. 셀프호스트/스테이징은 PLEUM_BASE_URL로 덮어쓴다.
+export const ROOT = (process.env.PLEUM_BASE_URL ?? "https://router.pleum.ai")
   .replace(/\/+$/, "")
   .replace(/\/v1$/, ""); // 사용자가 실수로 /v1까지 붙여도 V1이 /v1/v1 이중 경로가 되지 않게 정리(L12)
 // OpenAI 호환 엔드포인트는 /v1. (Claude Code만 루트를 쓴다 — recipes 참고)
@@ -31,23 +30,137 @@ export function writeConfig(cfg) {
 }
 
 // 로그인 저장 — 기존 설정(lang·launch_models·last_selection)을 보존한 채 자격증명만 병합.
-// login/loginDevice가 매번 writeConfig({key, base_url})로 전체를 덮어쓰던 버그의 수정.
 export function mergeLoginConfig(existing, patch) {
-  return { ...(existing ?? {}), ...patch };
+  const merged = { ...(existing ?? {}), ...patch };
+  // undefined patch values strip the key (e.g. remove legacy `key` after OAuth login).
+  for (const [k, v] of Object.entries(patch)) {
+    if (v === undefined) delete merged[k];
+  }
+  return merged;
 }
 
-// 로그아웃 — key·base_url(자격증명)만 제거. lang·launch_models 등 나머지 설정은 보존.
+// 로그아웃 — OAuth 토큰·레거시 key·base_url 제거. lang·launch_models 등 나머지 설정은 보존.
 export function clearCredentials(existing) {
-  const { key, base_url, ...rest } = existing ?? {};
+  const {
+    key,
+    base_url,
+    access_token,
+    refresh_token,
+    token_expires_at,
+    ...rest
+  } = existing ?? {};
   return rest;
 }
 
-// 키가 필요한 명령의 공통 가드. 없으면 안내 후 종료.
+/** JWT payload `exp`(epoch sec) — 서명 검증 없이 refresh 트리거 힌트. */
+export function readJwtExp(token) {
+  if (typeof token !== "string") return null;
+  const parts = token.split(".");
+  const segment = parts[1];
+  if (!segment) return null;
+  try {
+    let b64 = segment.replace(/-/g, "+").replace(/_/g, "/");
+    const pad = b64.length % 4;
+    if (pad) b64 += "=".repeat(4 - pad);
+    const json = Buffer.from(b64, "base64").toString("utf8");
+    const payload = JSON.parse(json);
+    return typeof payload.exp === "number" ? payload.exp : null;
+  } catch {
+    return null;
+  }
+}
+
+/** access가 곧 만료(기본 60s 여유)면 true. */
+export function accessTokenIsStale(accessToken, skewSeconds = 60) {
+  const exp = readJwtExp(accessToken);
+  if (exp == null) return true;
+  return exp * 1000 <= Date.now() + skewSeconds * 1000;
+}
+
+/**
+ * 유효한 access_token을 반환. stale이면 refresh. 레거시 `key`(plm_)만 있으면 재로그인 안내.
+ */
+export async function requireAuth() {
+  const cfg = readConfig();
+  if (cfg?.key && !cfg?.access_token) {
+    console.error(
+      t("Legacy API key login is no longer supported. Run:\n  pleum login"),
+    );
+    process.exit(1);
+  }
+  if (!cfg?.access_token || !cfg?.refresh_token) {
+    console.error(t("Login required. Run this first:\n  pleum login"));
+    process.exit(1);
+  }
+  if (!accessTokenIsStale(cfg.access_token)) {
+    return cfg.access_token;
+  }
+  const refreshed = await refreshAccessToken(cfg);
+  if (!refreshed) {
+    console.error(t("Session expired. Run:\n  pleum login"));
+    process.exit(1);
+  }
+  return refreshed;
+}
+
+/** @deprecated use requireAuth — kept as alias for gradual call-site migration */
 export function requireKey() {
+  // sync callers still exist; they must switch to await requireAuth().
+  // For sync contexts we only check presence and return access_token (no refresh).
   const cfg = readConfig();
-  if (!cfg?.key) {
+  if (cfg?.key && !cfg?.access_token) {
+    console.error(
+      t("Legacy API key login is no longer supported. Run:\n  pleum login"),
+    );
+    process.exit(1);
+  }
+  if (!cfg?.access_token) {
     console.error(t("Login required. Run this first:\n  pleum login"));
     process.exit(1);
   }
-  return cfg.key;
+  return cfg.access_token;
+}
+
+export async function refreshAccessToken(cfg = readConfig()) {
+  if (!cfg?.refresh_token) return null;
+  const base = (cfg.base_url || ROOT).replace(/\/+$/, "").replace(/\/v1$/, "");
+  try {
+    const res = await fetch(`${base}/v1/auth/refresh`, {
+      method: "POST",
+      headers: { "Content-Type": "application/json" },
+      body: JSON.stringify({ refresh_token: cfg.refresh_token }),
+    });
+    if (!res.ok) return null;
+    const data = await res.json();
+    if (!data.access_token || !data.refresh_token) return null;
+    const exp = readJwtExp(data.access_token);
+    writeConfig(
+      mergeLoginConfig(cfg, {
+        access_token: data.access_token,
+        refresh_token: data.refresh_token,
+        token_expires_at: exp ? exp * 1000 : undefined,
+        key: undefined,
+      }),
+    );
+    return data.access_token;
+  } catch {
+    return null;
+  }
+}
+
+/** Bearer 요청 — 401이면 1회 refresh 후 재시도. */
+export async function authFetch(path, init = {}) {
+  const token = await requireAuth();
+  const url = path.startsWith("http") ? path : `${V1}${path.startsWith("/") ? path : `/${path}`}`;
+  const headers = { ...(init.headers || {}), Authorization: `Bearer ${token}` };
+  let res = await fetch(url, { ...init, headers });
+  if (res.status !== 401) return res;
+
+  const cfg = readConfig();
+  const refreshed = await refreshAccessToken(cfg);
+  if (!refreshed) return res;
+  return fetch(url, {
+    ...init,
+    headers: { ...(init.headers || {}), Authorization: `Bearer ${refreshed}` },
+  });
 }

package/src/health.mjs

@@ -31,7 +31,7 @@ export function renderHealth({ root, health, error, ms, keyPrefix }, styler = st
   }
   lines.push(
     keyPrefix
-      ? ok(`${t("Logged in")} ${styler.dim(`(${t("key")} ${keyPrefix}…)`)}`)
+      ? ok(`${t("Logged in")} ${styler.dim(`(${keyPrefix === "oauth" ? t("OAuth session") : `${t("key")} ${keyPrefix}…`})`)}`)
       : warn(`${t("Not logged in")} ${styler.dim("— pleum login")}`),
   );
   return lines.join("\n");
@@ -39,7 +39,11 @@ export function renderHealth({ root, health, error, ms, keyPrefix }, styler = st
 
 export async function health() {
   const cfg = readConfig();
-  const keyPrefix = cfg?.key ? cfg.key.slice(0, 8) : null;
+  const keyPrefix = cfg?.access_token
+    ? "oauth"
+    : cfg?.key
+      ? cfg.key.slice(0, 8)
+      : null;
   const t0 = Date.now();
   let data = null;
   let error = null;

package/src/launch.mjs

@@ -2,7 +2,7 @@ import { spawn } from "node:child_process";
 import { mkdirSync, writeFileSync, existsSync, readFileSync } from "node:fs";
 import { homedir } from "node:os";
 import { join, delimiter, dirname, resolve } from "node:path";
-import { requireKey } from "./config.mjs";
+import { requireAuth } from "./config.mjs";
 import { RECIPES, MANUAL, codexToml } from "./recipes.mjs";
 import { t } from "./i18n.mjs";
 import { sanitizeTerminalText } from "./ansi.mjs";
@@ -82,7 +82,7 @@ export function launchHelp() {
 
 // exit:false면 process.exit 대신 자식 종료 코드를 반환 — 런처 메뉴의 실행 후 복귀용.
 export async function launch(tool, model, passthrough, { exit = true } = {}) {
-  const key = requireKey();
+  const key = await requireAuth();
   const r = RECIPES[tool];
 
   if (!r) {

package/src/locales/es.mjs

@@ -80,6 +80,12 @@ export const ES = {
   "Log out? [Y/n] ": "¿Cerrar sesión? [Y/n] ",
   "Logged in": "Sesión iniciada",
   "Logged in. Saved the key to ~/.pleum/config.json.": "Sesión iniciada. Clave guardada en ~/.pleum/config.json.",
+  "Logged in. Saved the session to ~/.pleum/config.json.": "Sesión iniciada. Sesión guardada en ~/.pleum/config.json.",
+  "Legacy API key login is no longer supported. Run:\n  pleum login": "El inicio de sesión con clave API heredada ya no es compatible. Ejecuta:\n  pleum login",
+  "Session expired. Run:\n  pleum login": "La sesión ha caducado. Ejecuta:\n  pleum login",
+  "OAuth session": "Sesión OAuth",
+  "Log in via browser (OAuth session, no API key)": "Iniciar sesión en el navegador (sesión OAuth, sin clave API)",
+  "Revoke session and clear local tokens": "Revocar sesión y borrar tokens locales",
   "Logged out": "Sesión cerrada",
   "Login required. Run this first:\n  pleum login": "Se requiere iniciar sesión. Ejecuta esto primero:\n  pleum login",
   "Login timed out (2 minutes)": "Tiempo de espera agotado para iniciar sesión (2 minutos)",

package/src/locales/ja.mjs

@@ -80,6 +80,12 @@ export const JA = {
   "Log out? [Y/n] ": "ログアウトしますか? [Y/n] ",
   "Logged in": "ログイン済み",
   "Logged in. Saved the key to ~/.pleum/config.json.": "ログインしました。キーを ~/.pleum/config.json に保存しました。",
+  "Logged in. Saved the session to ~/.pleum/config.json.": "ログインしました。セッションを ~/.pleum/config.json に保存しました。",
+  "Legacy API key login is no longer supported. Run:\n  pleum login": "レガシー API キーログインはサポートされなくなりました。実行してください:\n  pleum login",
+  "Session expired. Run:\n  pleum login": "セッションの有効期限が切れました。実行してください:\n  pleum login",
+  "OAuth session": "OAuth セッション",
+  "Log in via browser (OAuth session, no API key)": "ブラウザでログイン（OAuth セッション、API キーなし）",
+  "Revoke session and clear local tokens": "セッションを取り消し、ローカル トークンを削除",
   "Logged out": "ログアウトしました",
   "Login required. Run this first:\n  pleum login": "ログインが必要です。まず以下を実行してください:\n  pleum login",
   "Login timed out (2 minutes)": "ログインがタイムアウトしました (2分)",

package/src/locales/ko.mjs

@@ -26,6 +26,12 @@ export const KO = {
     "브라우저에서 로그인하세요. 자동으로 안 열리면 아래 URL을 여세요:",
   "Login timed out (2 minutes)": "로그인 시간 초과(2분)",
   "Logged in. Saved the key to ~/.pleum/config.json.": "로그인 완료. 키를 ~/.pleum/config.json 에 저장했습니다.",
+  "Logged in. Saved the session to ~/.pleum/config.json.": "로그인 완료. 세션을 ~/.pleum/config.json 에 저장했습니다.",
+  "Legacy API key login is no longer supported. Run:\n  pleum login": "레거시 API 키 로그인은 더 이상 지원되지 않습니다. 실행하세요:\n  pleum login",
+  "Session expired. Run:\n  pleum login": "세션이 만료되었습니다. 실행하세요:\n  pleum login",
+  "OAuth session": "OAuth 세션",
+  "Log in via browser (OAuth session, no API key)": "브라우저로 로그인 (OAuth 세션, API 키 없음)",
+  "Revoke session and clear local tokens": "세션 폐기 및 로컬 토큰 삭제",
   "Failed to issue a device code (server responded {status})": "device code 발급 실패 (서버 응답 {status})",
   "Code": "코드",
   "Log in at the URL above, then enter the code (within {min} min).": "위 URL에서 로그인 후 코드를 입력하세요 ({min}분 내).",

package/src/locales/zh.mjs

@@ -80,6 +80,12 @@ export const ZH = {
   "Log out? [Y/n] ": "要登出吗？ [Y/n] ",
   "Logged in": "已登录",
   "Logged in. Saved the key to ~/.pleum/config.json.": "已登录。密钥已保存至 ~/.pleum/config.json。",
+  "Logged in. Saved the session to ~/.pleum/config.json.": "已登录。会话已保存至 ~/.pleum/config.json。",
+  "Legacy API key login is no longer supported. Run:\n  pleum login": "不再支持旧版 API 密钥登录。请运行：\n  pleum login",
+  "Session expired. Run:\n  pleum login": "会话已过期。请运行：\n  pleum login",
+  "OAuth session": "OAuth 会话",
+  "Log in via browser (OAuth session, no API key)": "通过浏览器登录（OAuth 会话，无 API 密钥）",
+  "Revoke session and clear local tokens": "撤销会话并清除本地令牌",
   "Logged out": "已登出",
   "Login required. Run this first:\n  pleum login": "需要登录。请先运行：\n  pleum login",
   "Login timed out (2 minutes)": "登录超时（2 分钟）",

package/src/login.mjs

@@ -24,12 +24,29 @@ function openBrowser(url) {
   }).unref();
 }
 
+function saveTokens({ access_token, refresh_token, expires_in }) {
+  const existing = readConfig() || {};
+  const { key: _legacy, ...rest } = existing;
+  const token_expires_at =
+    typeof expires_in === "number"
+      ? Date.now() + expires_in * 1000
+      : undefined;
+  writeConfig(
+    mergeLoginConfig(rest, {
+      access_token,
+      refresh_token,
+      token_expires_at,
+      base_url: ROOT,
+    }),
+  );
+}
+
 // 브라우저 핸드오프: 로컬 콜백 서버를 열고 대시보드 /cli-auth로 보낸다.
-// 프론트가 로그인 확인 후 키를 발급해 127.0.0.1:PORT/cb 로 POST 한다(URL에 키 미노출).
+// 프론트가 로그인 확인 후 JWT를 발급해 127.0.0.1:PORT/cb 로 POST 한다.
 export async function login() {
   const state = randomUUID();
 
-  const key = await new Promise((resolve, reject) => {
+  const tokens = await new Promise((resolve, reject) => {
     const server = createServer((req, res) => {
       // 로컬 콜백만 받으므로 CORS는 전부 허용(브라우저→127.0.0.1 cross-origin POST).
       res.setHeader("Access-Control-Allow-Origin", "*");
@@ -53,12 +70,22 @@ export async function login() {
         } catch {
           // 잘못된 본문 — 아래 검증에서 걸러짐
         }
-        const ok = payload.state === state && typeof payload.key === "string" && payload.key;
+        const ok =
+          payload.state === state &&
+          typeof payload.access_token === "string" &&
+          payload.access_token &&
+          typeof payload.refresh_token === "string" &&
+          payload.refresh_token;
         res.writeHead(ok ? 200 : 400, { "Content-Type": "application/json" });
         res.end(JSON.stringify({ ok: Boolean(ok) }));
         server.close();
-        if (ok) resolve(payload.key);
-        else reject(new Error(t("State mismatch or missing key")));
+        if (ok) {
+          resolve({
+            access_token: payload.access_token,
+            refresh_token: payload.refresh_token,
+            expires_in: payload.expires_in,
+          });
+        } else reject(new Error(t("State mismatch or missing key")));
       });
     });
 
@@ -76,12 +103,12 @@ export async function login() {
     }, 120_000).unref();
   });
 
-  writeConfig(mergeLoginConfig(readConfig(), { key, base_url: ROOT }));
-  console.log(`✓ ${t("Logged in. Saved the key to ~/.pleum/config.json.")}`);
+  saveTokens(tokens);
+  console.log(`✓ ${t("Logged in. Saved the session to ~/.pleum/config.json.")}`);
 }
 
 // device-code 로그인 — 브라우저 없는 환경(SSH·CI).
-// 1) code 발급 → 2) 사용자가 /device에서 확인 → 3) CLI가 폴링으로 키 수신.
+// 1) code 발급 → 2) 사용자가 /device에서 확인 → 3) CLI가 폴링으로 JWT 수신.
 export async function loginDevice() {
   const res = await fetch(`${V1}/auth/device/code`, { method: "POST" });
   if (!res.ok) {
@@ -111,9 +138,13 @@ export async function loginDevice() {
       console.error(t("Error:"), sanitizeTerminalText(e.detail ?? poll.status));
       process.exit(1);
     }
-    const { key } = await poll.json();
-    writeConfig(mergeLoginConfig(readConfig(), { key, base_url: ROOT }));
-    console.log(`✓ ${t("Logged in. Saved the key to ~/.pleum/config.json.")}`);
+    const data = await poll.json();
+    if (!data.access_token || !data.refresh_token) {
+      console.error(t("Error:"), "missing tokens");
+      process.exit(1);
+    }
+    saveTokens(data);
+    console.log(`✓ ${t("Logged in. Saved the session to ~/.pleum/config.json.")}`);
     return;
   }
   console.error(t("Timed out: the code has expired."));

package/src/run.mjs

@@ -1,7 +1,7 @@
 import { createInterface } from "node:readline";
 import { readFileSync, writeFileSync, mkdirSync, lstatSync } from "node:fs";
 import { join } from "node:path";
-import { V1, requireKey, HISTORY_FILE, SESSIONS_DIR } from "./config.mjs";
+import { V1, requireAuth, HISTORY_FILE, SESSIONS_DIR } from "./config.mjs";
 import { fetchModels, formatTable, matchModels, formatModelLabel, safeModelText } from "./models.mjs";
 import { style, divider, sanitizeTerminalText } from "./ansi.mjs";
 import { createMarkdownStream } from "./markdown.mjs";
@@ -200,7 +200,7 @@ export async function run(rest) {
   let model = argModel;
   const piped = await readStdin();
   const oneShot = Boolean(inlinePrompt || piped || attachments.length);
-  const key = requireKey();
+  const key = await requireAuth();
   const callOpts = { tags, skipCache, reasoningEffort, serviceTier, reasoningMode };
 
   if (!model && !oneShot) {

package/src/settings.mjs

@@ -26,7 +26,11 @@ export function buildSettingsItems({ lang, loggedIn, keyPrefix, version }) {
     {
       id: "settings:account",
       title: t("Account"),
-      desc: loggedIn ? `${t("Logged in")} (${t("key")} ${keyPrefix}…)` : t("Not logged in"),
+      desc: loggedIn
+        ? keyPrefix === "oauth"
+          ? `${t("Logged in")} (${t("OAuth session")})`
+          : `${t("Logged in")} (${t("key")} ${keyPrefix}…)`
+        : t("Not logged in"),
     },
     { id: "settings:update", title: t("Update CLI"), desc: t("Current version: {version}", { version }) },
     { id: "settings:completion", title: t("Shell completion"), desc: t("Print a zsh/bash completion script") },
@@ -65,8 +69,8 @@ async function settingsSelect() {
   const cfg = readConfig();
   const items = buildSettingsItems({
     lang: getLocale(),
-    loggedIn: Boolean(cfg?.key),
-    keyPrefix: cfg?.key ? cfg.key.slice(0, 8) : null,
+    loggedIn: Boolean(cfg?.access_token || cfg?.key),
+    keyPrefix: cfg?.access_token ? "oauth" : cfg?.key ? cfg.key.slice(0, 8) : null,
     version: readVersion(),
   });
   return runList(items, {

package/src/usage.mjs

@@ -1,7 +1,7 @@
 // `pleum usage [--by model|provider|api_key|day] [--days N]` — 내 지출 리포트.
-// GET /v1/usage/report (API 키 + usage:read 스코프 — CLI 로그인 키에 기본 동봉).
+// GET /v1/usage/report (CLI OAuth JWT → 숨은 세션 키 scopes에 usage:read).
 
-import { V1, requireKey } from "./config.mjs";
+import { authFetch } from "./config.mjs";
 import { style, padDisplay, barChart, divider } from "./ansi.mjs";
 import { t } from "./i18n.mjs";
 
@@ -50,12 +50,8 @@ export function renderUsage(data, styler = style) {
 
 export async function usage(rest) {
   const { by, days } = parseUsageArgs(rest);
-  const key = requireKey();
-  const res = await fetch(`${V1}/usage/report?group_by=${by}&days=${days}`, {
-    headers: { Authorization: `Bearer ${key}` },
-  });
+  const res = await authFetch(`/usage/report?group_by=${by}&days=${days}`);
   if (res.status === 403) {
-    // 구버전 로그인 키(usage:read 스코프 없음) — 재로그인으로 새 키를 받으면 해결.
     console.error(
       `${style.red("✗")} ${t("This API key doesn't have usage:read permission.")}\n` +
         `  ${style.dim(t("Run pleum login again to get a new key (recent keys include it by default)."))}`,