API 密钥与认证

每次产品请求都使用项目 API 密钥，包括免费端点。通过 HTTP Authorization 请求头传递：

Authorization: Bearer <your-platform-api-key>

在控制台为目标组织和项目创建、管理密钥。Gateway 检查密钥、项目状态以及对目标操作的访问权限。已有异步任务始终属于原项目，其他项目的密钥无法访问。

安全保存密钥

将密钥保存在服务端 Secret Manager 或受保护的本机环境中。示例通过 ANTAPI_KEY 提供密钥，并使用官方 Gateway https://api.antapi.dev。

不要把密钥放入查询参数、浏览器代码、公开环境变量、分析事件或请求日志。生产环境使用 HTTPS。控制台的会话 Cookie 只用于控制台访问，不能替代产品调用所需的 API 密钥。不要发送内部服务认证请求头。

轮换和撤销

首次签发时保存完整密钥。此后控制台只展示用于识别的前缀和末四位。

密钥泄露时，在控制台撤销密钥、创建新密钥，并更新应用的 Secret。需要独立撤销或轮换应用权限时，分别创建密钥。

排查认证失败

遇到 HTTP 401 时，检查请求头是否存在、密钥是否已撤销，以及组织和项目是否可用。排查时不要记录密钥。其他状态码见错误与恢复。

认证用于识别项目，幂等 Key则单独标识逻辑操作，便于安全重试。