开发文档
权限边界清晰的密钥
清晰的输入、审慎的请求标识、如实呈现的结果。这是集成网关时需要了解的基础。
浏览器会话与服务端密钥各司其职
工作空间使用 HTTP-only 会话 Cookie。你的服务端集成使用 x-api-key。切勿将长期密钥写入前端包或浏览器存储。
只授予真正需要的权限
权限由项目和操作组成：currency:latest 仅允许该操作。currency:* 会授予项目中的所有操作，包括未来增加的操作，因此仅在必要时使用。权限不能绕过启用状态、余额检查或账户限制。
x-api-key: <server-side-secret>
Idempotency-Key: <stable-unique-request-id>
Content-Type: application/json创建一次，安全保存
- 为密钥取一个能说明用途的名称，例如「expense-service」。
- 选择具体操作权限，并在已登录的工作空间中创建密钥。
- 把密钥复制到服务端密钥存储中。关闭提示后将无法再次显示。
- 创建新密钥，更新服务端配置，再撤销旧密钥，以此完成轮换。撤销不可恢复。
会话写操作限定同源
网页通过相对 /api 路径并携带同源凭证发送 JSON 写请求，服务端对会话写操作检查 Origin。不要为兼容跨域客户端而放宽此检查；服务端 API 密钥调用使用独立认证路径。
管理 API 密钥