鉴权与密钥

创建密钥

登录 api.molicat.cc；
进入密钥管理；
新建密钥，起一个能区分的名字，例如 prod-app、dev-local；
复制并立即保存。

只显示一次

密钥通常在创建时完整展示一次，之后只显示前缀。丢了只能删除重建。

使用方式

放在请求头：

http

Authorization: Bearer sk-xxxxxxxxxxxxxxxx

不要放在 URL 参数里——URL 会进日志、浏览器历史和 Referer。

密钥管理建议

做法	原因
每个环境一个密钥	开发、测试、生产互不影响
每个项目一个密钥	用量可区分，泄露时可单独停用
存环境变量 / 密钥管理服务	不写进代码和仓库
定期轮换	降低长期泄露风险
离职 / 交接时重置	人员变动要收权

bash

# 示例：环境变量
export MOLICAT_API_KEY="sk-xxxx"

# .env 必须进 .gitignore
.env
.env.local

401 排查

返回：

json

{"error":{"code":"","message":"Invalid token (request id: ...)","type":"new_api_error"}}

按顺序检查：

请求头拼写：Authorization: Bearer sk-...，Bearer 后有一个空格；
密钥是否完整（有没有多复制空格、换行）；
密钥是否已被删除、禁用或过期；
是否把别的平台的 key 用到了这里；
是否被网关/代理改写了请求头。

快速验证：

bash

curl -s https://api.molicat.cc/v1/models \
  -H "Authorization: Bearer $MOLICAT_API_KEY"

能返回模型列表，说明密钥和地址都没问题。

泄露了怎么办

立即在控制台删除该密钥；
创建新密钥并更新服务；
查用量记录，确认是否有异常调用；
检查代码仓库历史，清理误提交的密钥（仅删除文件不够，历史里仍在）。

不要做的事

不要把密钥写进前端 JS、小程序、App 包；
不要提交到 GitHub；
不要在截图、日志、报错信息里暴露完整密钥；
不要多个项目共用一个密钥。