身份验证

在哪里放置 key

将 key 作为表单编码请求体中的 key 字段传入。不支持基于请求头的身份验证——v2 规范使用请求体参数，以兼容现有的分销商 SDK。

Content-Type: application/x-www-form-urlencoded

key=YOUR_API_KEY&action=services

生成与替换 key

可在 /dashboard/api 中生成和吊销 key。原始 key 只显示一次。服务器仅保留单向验证值和简短的非敏感标识，因此之后无法恢复原始值。

• 每个账户最多 5 个有效 key。旧 key 可单独吊销。
• 无停机替换。先创建替换 key、更新集成，再吊销旧 key。被吊销的 key 会在新请求中被拒绝。
• 需要有效的仪表盘会话。生成 key 需要已认证且非模拟登录的仪表盘会话，不会再要求邮箱验证码或密码。

API key 能做什么

v3 API 密钥仅限执行文档列出的操作，不能访问已登录的控制面板会话或其他账户的数据。

• 提现或转移余额。
• 更改账户邮箱、密码或 2FA 设置。
• 通过 API 生成或吊销其他 API key。
• 访问管理员或审核端点。

安全建议

• 仅限服务器端使用。切勿将 API key 嵌入浏览器打包文件、移动应用，或任何他方可反编译的客户端中。
• 使用环境变量。不要将 key 提交到 git。.env 文件应放入 .gitignore。
• 怀疑泄露时立即吊销。如果 key 出现在日志、截图或共享聊天中，请创建替换 key 并吊销已暴露的 key。
• 在合适时用 webhook 减少轮询。投递为带重试的尽力而为模式，因此处理程序应保持幂等，并使用 action=status 核对重要状态。