API密钥

API密钥是API可以颁发的最简单的凭证：一个与账户或项目关联的长随机字符串，随每个请求一起发送——通常位于类似X-API-Key的请求头中，有时也位于查询字符串中。它用于识别调用者，以便进行计费、配额和访问控制，但除非服务器另行设置，否则它本身没有过期时间和有效范围。

工作原理

服务器会在每个请求中查找密钥，拒绝未知的请求并返回 401 错误，然后应用该密钥的配额和权限。密钥通常在控制面板中创建，可以通过在撤销旧密钥之前颁发新密钥来轮换，并且通常限制于特定的 IP 地址范围、引用页或端点。

误解

查询字符串中的键与请求头中的键一样安全。URL 会被写入服务器日志、代理日志和浏览器历史记录，并且可能通过 Referer 请求头泄露；请求头虽然也并非完全保密，但它出现在的地方远没有查询字符串和请求头那么多。

点击这里试试

货物跟踪 API 的写入操作（POST /cargo/v1/shipments和状态机转换）需要 X-API-Key，而读取操作是开放的，因此同一个 API 会显示正反两面。

资料来源

其他术语

阅读英文版

所有术语 · 测试技巧 · 全部 39 个模拟 REST API

最后更新时间