Cursor Cloud Agent Metadata 怎么读
预览 API：托管云 Agent VM 经 Unix socket 读 agent/owner/turn/workspace。不是凭证；对外鉴权用 OIDC。自托管暂不提供。
cursor cloud agent metadata 怎么读：官方文档标了 Preview，字段和路径都可能破改。托管 Cloud Agent VM 里，Agent、hooks、install 脚本可以通过本地 Unix socket 读键值：agent id、所有者、本回合提交者、正在服务的模型、已 checkout 的仓库。提示里写上按 https://cursor.com/docs/cloud-agent/metadata 读取即可，不必自己记 curl。
和外部 API、OIDC 的差别
SDK / Cloud Agents API 创建 Agent 时你设的 caller-owned metadata 标签，走的是 Cursor API Key，在 VM 外面。VM 内这套 socket 是另一回事。
需要让 AWS STS 或内网网关相信「这是某台 Agent」时，铸 OIDC JWT，见 OIDC tokens。Metadata 明文、无签名、还能带本回合提交者和模型名，文档写这些不该塞进 token。别把 agent/id 当鉴权。
自托管 worker 目前不提供这套 metadata API。只有 Cursor-managed VM，和 OIDC 共用 CURSOR_AGENT_SOCKET，默认 /run/cursor/api.sock。
怎么列键、读键
curl --unix-socket "${CURSOR_AGENT_SOCKET:-/run/cursor/api.sock}" \
http://cursor-agent/v1/meta-data/
常见前缀：agent/、owner/、turn/、workspace/。再读具体键，例如 owner/user-id。成功响应是 text/plain；缺键 404。主机名在 URL 里会被忽略，真正走的是 Unix socket。
键只在有值时出现。turn/ 要等编码回合开始；workspace/branch-name 要等 run 记下分支。owner / team / repo 从 Agent 创建起就有。开机瞬间 socket 可能还没有，文档让重试。
hooks 和 install 能用吗
能。install 脚本和会话里的 hook 读同一 socket，适合按 team_id 或仓库名分支不同安装逻辑。构建期私有包密钥仍走 environment secrets，不要把 metadata 当成密钥源，见 Builds 用户密钥。
Preview 意味着脚本里要容忍键改名。把读取封装成「缺键就跳过」，不要让 install 因为 404 整场失败。
列前缀时响应是每个子项一行、排序、嵌套前缀以 / 结尾。不要把 listing 当密钥扫描：里面没有 token。速率限制和错误体是 JSON，成功读键却是纯文本，解析时别套同一套 decoder。