在某些第三方充值或邀请兑换流程中，你可能遇到“粘贴 Session JSON”。这不是普通资料表，而可能包含可以代表账号身份的令牌。会复制只是第一步；更重要的是知道自己交出了什么。
最重要的一句：Session JSON 里的
accessToken、sessionToken等字段应当按密码级别保管。别发到群里，也不要把“没有提交密码”理解成“没有账号风险”。
1. Session JSON 是什么？
它通常是一个带账号信息和登录凭证的 JSON 文本。JSON 只是数据格式，类似把资料装进一个盒子；真正敏感的是盒子里的授权字段。外表能正常打开，不能证明凭证安全、仍有效或应该交给第三方。
官方 Codex 认证文档明确提醒：包含访问令牌的本地认证文件要像密码一样保管，不要提交到代码仓库、工单或聊天。本文借此说明令牌的风险，不代表官方认可第三方代充或要求你提供 Session。
2. 需要提交时，先检查三件事
- 入口是否正确：普通充值卡去本站充值站，邀请兑换码按邀请兑换站说明操作，不要把凭证贴在搜索结果或客服群里。
- 用途是否清楚：页面要求它来做什么？是否有替代方式？不了解用途就先停下，不要为了赶时间盲粘。
- 是否愿意承担风险：第三方处理账号凭证有风险，也可能受服务条款、地区及账号状态约束；不愿授权时应选择自行官方操作。
即使是熟悉的站点，也不要在公共电脑或屏幕共享中展示完整内容。复制后留意剪贴板、截图和浏览器插件可能接触这些数据。
3. 为什么页面说“Session 无效”？
常见原因包括复制缺了开头或结尾、不是当前登录账号的最新凭证、登录状态已经变化，或者平台拒绝当前授权。JSON 语法正确、有效期看起来没到，都不等于官方接口一定接受。
先看页面的具体提示，核对目标账号和入口，再按页面指引重新获取当前凭证。不要在不同站点反复粘贴同一份旧 Session，也不要把真实凭证发到网上让陌生人“帮你测试”。
4. 已经误发给别人了，怎么办？
先停止继续传播并删除可控制的公开内容；然后使用官方账号安全设置检查活跃会话、撤销可疑授权、更新适用的登录保护方式。是否立即失效取决于平台的具体机制，不要相信“删掉聊天记录就安全了”。
若同时泄露了 API key、密码或设备登录码，也应分别按对应官方安全流程处理。向客服描述问题时，发脱敏截图和错误文字，不需要公开完整令牌。
一分钟记住
能复制，不等于该分享；能解析，不等于仍有效；任务提交成功，不等于权益已经到账。凭证安全和交付结果，要分别核对。
资料与更新
路飞AI原创；核对日期：2026 年 9 月 29 日。本文不提供绕过认证或共享接码的方法。