# 密钥与鉴权

使用 API 密钥授权模型调用，并限制每个应用可以访问的范围。

## 请求头

模型 API 使用请求头 `Authorization: Bearer YOUR_API_KEY`。`Bearer` 后面有一个空格，请不要在密钥前后加入引号或换行。

密钥管理中的模型调用密钥，与账户安全页面的个人访问令牌用途不同。接入模型客户端时使用模型调用密钥；不要将后台管理凭据当作模型密钥。

## 分组和模型范围

密钥选择的分组决定可用渠道与适用价格。即使模型广场展示了某个模型，你的密钥也可能因分组、模型白名单、额度或有效期限制而无法调用。

建议每个应用分别创建密钥，并按需设置有限额度、有效期和 IP 范围。调整模型或分组后，先用小请求验证配置。

## 保存和轮换

- 保存在服务端环境变量或密钥管理服务中。
- 不放入网页前端、公开仓库、共享截图或聊天记录。
- 需要轮换时，先创建新密钥并更新应用，验证成功后停用旧密钥。
- 怀疑泄露时立即停用，核查调用日志与费用。

## 常见鉴权问题

`401` 通常需要检查密钥和请求头；`403` 需要检查权限、来源 IP 或访问策略。具体错误可能由平台或上游返回，应结合响应中的错误信息排查。

跨域连接只解决浏览器是否能发请求，不会保护放在浏览器中的密钥。需要面向终端用户提供网页时，应由你的服务端代为调用模型。