用途：在预览或生产 URL 受 Vercel Deployment Protection 保护时，用 agent-browser 访问并测试该部署。核心做法是使用调用方已有的 Vercel 身份和短期 OIDC 令牌，不关闭 Deployment Protection、不将部署设为公开，也不优先索取静态绕过密钥。
主要能力：同项目预览部署可通过默认 Trusted Sources 自访问规则，用目标项目的本地开发令牌访问，通常无需配置 Trusted Sources。先确认身份与 CLI 版本：vc whoami、vc --version。要求 Vercel CLI 53.3.0 或更新版本再运行 vc project token；50.25.0 至 53.2.x 会把令牌写入 stderr，命令替换捕获不到且凭据可能进入日志，若版本过旧应停止并请用户升级，不要尝试从 stderr 恢复令牌。
使用方式：显式设置目标项目与 scope，无法安全推断时询问用户。创建命名浏览器会话，用 Vercel CLI 生成开发 OIDC 令牌，然后注入而不打印或持久化：export AGENT_BROWSER_SESSION="$(agent-browser session id --scope worktree --prefix vercel-preview)"，随后用 vc project token 生成令牌并通过 agent-browser open 的 --headers 传入 x-vercel-trusted-oidc-idp-token。该头作用于目标源，覆盖文档、脚本、样式、字体和页内请求；会话关闭或重启后需重复认证打开命令。切勿打印令牌、写入源码或保存到环境文件。
其他环境与限制：本地开发令牌访问受保护的生产部署、调用方属于其他项目或团队、目标项目自访问规则被自定义，或 Vercel 返回 TRUSTED_SOURCES_ENVIRONMENT_MISMATCH 时，需要 Trusted Sources 配置。没有受支持的 CLI 或公开 REST API 可编辑该规则，必须由授权人员在目标项目 Settings → Deployment Protection → Trusted Sources 添加所需映射。静态密钥回退仅在 OIDC 不可行或工具无法发送该头时使用，启用或轮换前须获明确授权。不存在 vercel share CLI 命令；vercel curl 无法渲染和交互页面；Deployment Protection Exceptions 会使域名公开，不应仅为解除代理阻塞而使用。