InfluxDB 2.x 不支持“只读账号”，仅通过Token实现细粒度权限控制；需用influx CLI或API创建仅含read权限的Token，绑定指定bucket ID和orgID，权限不可动态修改，须删除重建。
InfluxDB 2.x 不支持“只读账号”，只支持 Token 权限控制
InfluxDB 2.x 已废弃传统用户名/密码的账号体系，改用基于 Token 的 RBAC 模型。所谓“只读账号”，实际是创建一个仅拥有 read 权限的 Token，绑定到特定 bucket（或 org）。它没有独立的“用户实体”，只有 Token + 权限策略的组合。
用 influx CLI 创建只读 Token（推荐方式）
确保已配置 influx CLI 并登录（influx auth list 能看到当前凭据）。执行以下命令生成最小权限 Token：
influx auth create \ --org <your-org-name> \ --bucket <your-bucket-name> \ --read-bucket <bucket-id> \ --description "readonly-token-for-dashboard"
注意关键点：
-
--bucket是 bucket 名称（用于查找），但真正授予权限的是--read-bucket <bucket-id>—— 必须填bucket ID，不是名字；可用influx bucket list -o <org> -j | jq '.[] | select(.name=="my-bucket") | .id'提取 - 不加
--write-bucket即默认无写权限，但也不能漏掉--read-bucket，否则 Token 连任何 bucket 都读不了 - 生成后立即显示 Token 字符串（形如
eyJ0eXAiOiJKV1QiLCJhbGciOiJIUzI1NiJ9...），CLI 不会再次展示，务必立刻保存
用 API 手动创建时权限字段容易写错
若调用 POST /api/v2/authorizations，请求体中的 permissions 数组必须严格按格式写，常见错误包括：
Openclaw Token Memory Optimizer
下载
{"answer":"OpenClaw Agent 优化套件，防止令牌泄露与上下文膨胀。适用于需实现后台任务隔离或重置与摘要工作流（RAG）的场景。"}
立即学习“go语言免费学习笔记（深入）”；
- 把
action: "read"写成"READ"或"Read"（必须小写） - 误用
resource.type: "buckets"（正确是"bucket"） -
resource.id填了 bucket 名而不是 ID（API 层面只认 ID） - 遗漏
resource.orgID—— 即使 Token 绑定到 org，权限仍需显式声明 orgID
正确 permission 片段示例：
{
"permissions": [{
"action": "read",
"resource": {
"type": "bucket",
"id": "0xAbCdEf1234567890",
"orgID": "9zYxWvU76543210t"
}
}]
}
Token 权限范围不能动态降级，删了重来最稳妥
InfluxDB 不提供修改已有 Token 权限的接口。如果发现 Token 权限过大（比如误加了 write），或需要调整 bucket 范围，唯一安全做法是：
- 用
influx auth list找到对应ID - 执行
influx auth delete -i <auth-id> - 重新运行
influx auth create命令，严格限定--read-bucket
别试图复用旧 Token 改 scope —— 它的 JWT payload 是签名固定的，改了就验签失败。
