Skip to content
Vol. 1 · Ed. 2026
CyberGlossary
中文
Entry № 051

API 密钥(API Key)

API 密钥(API Key) 是什么?

API 密钥(API Key)服务签发的静态密文字符串,用于识别和认证调用方,通常通过请求头或查询参数随每次 API 调用发送。

API 密钥是用于在后端 API 上标识项目、服务账号或开发者的长随机字符串。它易于签发与使用,但安全性较弱:它认证的是调用方而非用户,默认不过期,且会授予与之绑定的全部权限。最佳实践:放入密钥管理服务、绝不嵌入客户端代码或公开仓库、对每个密钥实行最小作用域、按 IP 或 Referer 限制、定期轮换、泄露立即吊销。涉及最终用户授权或高价值操作时,优先选择 OAuth 2.0、mTLS 或签名请求。

● 示例

  1. 01

    Authorization: ApiKey sk_live_abc123...

  2. 02

    Stripe、Google Maps、Twilio 等服务使用按项目分发的 API 密钥。

● 常见问题

API 密钥(API Key) 是什么?

服务签发的静态密文字符串,用于识别和认证调用方,通常通过请求头或查询参数随每次 API 调用发送。 它属于网络安全的 身份与访问 分类。

API 密钥(API Key) 是什么意思?

服务签发的静态密文字符串,用于识别和认证调用方,通常通过请求头或查询参数随每次 API 调用发送。

API 密钥(API Key) 是如何工作的?

API 密钥是用于在后端 API 上标识项目、服务账号或开发者的长随机字符串。它易于签发与使用,但安全性较弱:它认证的是调用方而非用户,默认不过期,且会授予与之绑定的全部权限。最佳实践:放入密钥管理服务、绝不嵌入客户端代码或公开仓库、对每个密钥实行最小作用域、按 IP 或 Referer 限制、定期轮换、泄露立即吊销。涉及最终用户授权或高价值操作时,优先选择 OAuth 2.0、mTLS 或签名请求。

如何防御 API 密钥(API Key)?

针对 API 密钥(API Key) 的防御通常结合技术控制与运营实践,详见上方完整定义。

● 相关术语