API Key 管理

按确认调用范围、创建密钥、收紧权限和接口验证的顺序建立程序化访问能力。

功能概述

API Key 用于给程序、脚本和外部系统提供访问 Clouisle 的身份。
它不是给人登录用的账号替代品，而是一种独立的程序身份治理方式。

API Key 常用于：

开始前建议先确认：

在创建之前，先回答清楚这把 Key 到底用来做什么，例如：

这一步越明确，后面的权限越容易收紧。

创建时建议名称至少包含：

例如：crm-prod-agent-call。
这样后续在日志、审计或轮换时更容易快速识别。

创建后应重点确认：

生产环境不要为了省事一上来就开全量权限。

Key 创建完成后，应立刻拿真实请求做一次最小测试，至少确认：

如果这一步都不验证，后面联调时很容易把权限问题误判成接口问题。

当 Key 开始进入正式系统后，还应同步定义：

一个治理正常的 API Key，至少应满足：

优先检查：

因为一旦出问题，很难追责，也很难单独回收某一个系统的访问权限。

如果 Key 长期有效且无人管理，一旦泄露，风险会持续存在。
轮换和回收机制是程序身份治理不可缺少的一部分。