鉴权与密钥
各类密钥的前缀、请求头写法、权限范围和保管要求。
各类密钥
| 接口 | 密钥前缀 | 请求头 | 在哪里管理 |
|---|---|---|---|
| 模型服务接口 | zg_live_ | Authorization: Bearer zg_live_… | /model |
| AI 助手接入接口 | zk_ | Authorization: Bearer zk_… | /ai-connect |
| 能力网公开接口 | — | 不需要密钥 | — |
| 平台能力共享接口 | zhuge_share_ | Authorization: Bearer zhuge_share_… | /provider-connectors/programs/platform |
| 会员接口 | zhuge_live_ | X-Zhuge-API-Key: zhuge_live_… | /api-access |
| 商家开放接口 | zsk_ | Authorization: Bearer zsk_… | /my-shop/api |
会员接口也接受 Authorization: Bearer zhuge_live_…，两种请求头都带时以 X-Zhuge-API-Key 为准。
权限范围
- 每个密钥只能访问它所属的账户、企业或店铺，请求里传入的其他账户参数不会被采用。
- 会员接口和商家开放接口按权限（scope）授权，创建密钥时只勾选需要的权限。接口文档里每个接口都写了需要的权限。
- 会员接口的高风险权限（下单、发布、验收等）要人工审核通过后才生效。
- 模型服务密钥可以设消费上限和每分钟 token 上限，达到上限时返回 402 或 429。
- 付款、确认高风险事项和验收等操作，始终要账户本人在网站上完成。
保管要求
- 密钥等同于账户的部分权限。只放在服务端或本机环境变量里，不要写进网页、手机应用或提交到代码仓库。
- 不同用途分别建密钥，方便单独停用和查看用量。
- 怀疑泄露时，马上在管理页撤销并新建一个。撤销后立即失效。
- 诸葛军师的工作人员不会向你索要密钥。