# 身份验证

> 使用你的 Ora API 密钥进行身份验证，并轮换或撤销密钥。

### 你的 API 密钥

每次请求都要在 `Authorization` 请求头中带上你的密钥：

```
Authorization: Bearer ora_YOUR_API_KEY
```

- **格式。** `ora_` 后接 43 个字符（字母、数字、`-` 和 `_`），共 47 个字符。其他任何格式都会直接以 `401` 拒绝，甚至不会去查找该密钥。
- **每个账户一个密钥。** 它代表你本人行事：它能看到你的代币、钱包和投资组合，看不到其他任何人的。
- **把它放在只有你能接触到的地方。** 在服务器上，放在环境变量或密钥管理工具中；或者放在你自己设备上安装的应用或浏览器扩展的受保护存储中。切勿把它放进网站代码、URL、查询字符串或代码仓库。Ora 只保存它的哈希值，无法再次向你显示它。
- **无需登录，没有会话。** 没有任何需要刷新的东西：密钥会一直有效，直到你轮换或撤销它，或者你账户的 API 访问权限被关闭。

> **Warning:** **任何拿到你密钥的人都能操作你的账户**，包括用你的钱包进行交易和发射。请像对待密码一样对待它：只把它交给你信任且已获 Ora 批准的软件（[为他人开发](#building-for-other-people)）。

### API Key 窗口

在应用中，点击右上角的头像，然后点击 **API Key**。窗口会显示：

- 你的密钥，并带有 **Active** 或 **Inactive** 徽章，告诉你 API 访问权限是否已开通。关闭窗口后，密钥只会以掩码形式显示；
- **Generate key** 按钮；如果你已有密钥，则为 **Generate new key**；
- 要调用的 **Base URL**，并带有复制按钮。

如果 API 访问权限尚未开通，窗口会显示相应提示，而不显示该按钮：请联系 Ora 支持团队开通。

### 管理你的密钥

| 目的 | 操作 | 效果 |
|---|---|---|
| 创建 | **API Key** 窗口 → **Generate key** | 只显示一次。请立即复制。 |
| 轮换 | **API Key** 窗口 → **Generate new key** | 旧密钥从下一次调用起就会被拒绝。请先更新你的脚本。 |
| 撤销 | `POST /me/api-key/revoke`，或联系 Ora 支持团队 | 此后使用该密钥的每次调用都会被拒绝。 |
| 检查访问权限 | **API Key** 窗口，或 `GET /auth/me` | 显示 API 访问权限是否已开通，以及是否存在密钥。 |

如果密钥泄露，请立即轮换：泄露的密钥在下一次使用时就会失效。API 访问权限同时也是一个账户级开关，Ora 支持团队可以将其关闭，届时该账户上的所有密钥都会立即被阻止。

### 为他人开发

你为自己开发的机器人、仪表盘、平台和扩展只需要你自己的密钥。如果要把你的软件提供给其他 Ora 用户，你需要先获得 Ora 的书面同意：请写信至 contact@useora.xyz，说明它的功能以及它如何处理密钥。之后：

- 每位用户使用自己的密钥登录你的软件，并且可以随时撤销；
- 你要像保管自己的密钥一样安全地保管收到的密钥，只将其用于每位用户要求的用途，并在用户离开时将其删除；
- 你要明确说明你的软件并非由 Ora 运营，并且绝不向任何人索要恢复密钥、私钥或登录验证码。

完整规则见[服务条款](https://useora.xyz/terms)第 10.11 条。