bithumbAPI接口如何设置权限
一、简介
Bithumb是一个享誉全球的领先数字货币交易平台，成立于2014年，提供多种加密货币的交易服务，包括比特币、以太坊、瑞波币等。该平台不仅为个人投资者提供了一个方便的交易环境，还为开发者和机构用户提供了强大的API接口。这些API接口允许用户通过编程的方式与Bithumb的系统进行交互，支持包括自动化交易、市场数据查询、账户管理等多种功能。无论是通过简单的API请求查询市场行情，还是利用高级API接口执行算法交易，Bithumb都提供了高效而安全的技术支持。
为了保障平台的安全性以及用户的资产安全，Bithumb为API接口提供了权限管理功能，用户可以根据需求灵活地设置API密钥的权限。通过合理配置API权限，用户可以确保每个密钥的使用范围和功能限制，避免不必要的风险，防止恶意攻击者通过API访问敏感信息或进行未经授权的交易。
本文将深入探讨如何在Bithumb平台上创建API密钥、如何进行权限配置以及如何确保在使用API接口时保持安全性。通过这一指南，开发者和用户能够更清楚地了解如何利用Bithumb提供的API进行高效、安全的操作，并能够根据具体需求调整API的权限设置，进一步提升安全防护能力。
二、创建API密钥
在设置权限之前，必须先创建一个API密钥。API密钥是开发者与Bithumb平台进行交互的核心身份验证凭证，通过它可以授权程序安全地访问Bithumb的各种服务。每个API密钥由两个部分组成：API Key和Secret Key。API Key是公开的标识符，通常用来标记请求的发起者，而Secret Key则是私密的，用于对请求进行签名，确保数据的安全传输。因此，Secret Key必须保密，不应在代码中或其他公开场所泄露。
API密钥的创建步骤通常包括登录Bithumb账户，访问API管理页面，选择生成新的API密钥，并根据需要设置访问权限。例如，开发者可以选择为API密钥配置不同的权限级别，如读取市场数据、执行交易或管理账户。每个密钥都可以与特定IP地址绑定，进一步提升安全性。一旦生成API密钥，建议立即保存密钥信息，因为Secret Key只会在创建时显示一次，之后将无法查看。
1. 登录Bithumb账号
用户需访问Bithumb平台官方网站或下载其官方移动应用程序。完成安装或打开平台后，输入注册时使用的电子邮件地址以及密码。确保密码符合Bithumb的安全要求，通常包括字母、数字及特殊字符的组合。如果用户启用了两步验证（2FA），还需在登录时输入通过手机应用生成的验证码，确保账户的安全性。在成功登录后，用户将自动进入Bithumb的账户首页，显示个人账户概览、交易历史、余额等重要信息。此时，用户可进一步管理账户设置、执行交易或查看市场动态。
2. 进入API管理页面
完成登录后，您可以在平台的顶部菜单栏找到并点击“API管理”选项，直接进入API密钥的创建与管理页面。此页面为用户提供了对API密钥进行增、删、改等操作的功能，使得用户能够根据需要进行API权限的配置与控制。大多数平台的API管理功能也可以在“个人账户设置”部分找到，在该区域内，用户可以轻松访问到与API相关的所有管理功能。为了确保操作的便捷性和安全性，部分平台会在此页面中提供详细的API访问日志记录，以便用户追踪API的使用情况。
3. 创建新的API密钥
在API管理页面，点击“创建新的API密钥”按钮以生成新的密钥对。此时，系统将自动为您分配一对独特的API Key和Secret Key。API Key作为公钥，主要用于标识您的身份并允许您访问相关的API资源，而Secret Key则作为私钥，确保您在使用API时的安全性和隐私性。务必妥善保存Secret Key，因为一旦页面刷新或关闭，系统将无法再次显示此密钥。如果丢失了Secret Key，您需要重新生成一对新的密钥。
成功创建新的密钥对后，API Key和Secret Key将成为进行API调用和交互的必备凭证。没有这对密钥，您将无法进行身份验证和请求相应的API服务。请注意，在进行任何敏感操作时，务必保护Secret Key的安全性，避免泄露，以防止您的账户遭受未经授权的访问。
三、配置API权限
在成功创建API密钥之后，下一步便是配置API权限。API权限是对API密钥操作权限的设定，它决定了该密钥可以进行哪些具体的交易操作和数据访问。Bithumb为用户提供了多种权限级别选项，用户可以根据自己的具体需求来选择合适的权限设置。这些权限涵盖了账户查询、市场数据访问、订单管理、资金操作等多个方面，确保了用户在使用API时可以根据安全性与功能需求进行精细化的控制。
用户在配置API权限时，应该注意区分不同权限所对应的功能和操作的敏感性。例如，启用“交易”权限将允许API密钥进行买卖操作，而仅启用“查询”权限则仅能获取账户信息和市场数据，而不会允许进行任何交易。为了确保账户的安全，建议在不需要进行交易操作时，尽量避免启用具有更高风险的权限。
在选择权限时，Bithumb还允许用户为每个API密钥设定特定的访问范围，比如是否启用IP限制，进一步增强了安全性。用户还可以通过API密钥管理界面随时查看和调整权限设置，以适应不同的交易需求。
1. 权限设置选项
在API密钥管理页面中，通常会提供以下几种权限选项：
a. 交易权限
启用此权限后，API密钥将获得执行交易操作的权限，包括但不限于买入、卖出、限价单、市价单、止损单以及其他各种订单类型。交易权限还允许API密钥在账户内进行资产的转移和管理，例如资金的划拨和充值提取等。对于自动化交易的用户，启用此权限是必需的，因为这些用户通常通过编程接口进行频繁的市场操作和策略执行。启用该权限后，用户可以利用算法交易、机器人交易系统或其他自动化工具来实时监控市场、分析数据并进行交易决策，从而最大化交易效率和策略执行的准确性。
b. 资金权限
启用资金权限后，API密钥将获得访问账户余额的权限，包括查询账户当前余额、获取充值地址、查看和下载历史充值记录等。这一权限使得用户能够实时监控账户的资金流动和余额情况。启用资金权限还允许对账户的资金进行管理操作，例如查看充值、提现记录，获取相关交易数据，以及执行其他与资金相关的查询和分析任务。若您希望通过API接口进行资金管理、余额查询或相关操作，此权限是不可或缺的，且是确保账户资金安全和透明度的基本功能。
c. 提现权限
启用提现权限后，API密钥将被授权执行提现操作，这意味着通过该密钥进行的任何请求都能够转移账户余额至指定的外部钱包地址或其他账户。这一权限在所有API权限中被认为是最为敏感和高风险的，因为一旦API密钥被泄露或滥用，可能会导致资金损失。为了最大程度地降低潜在风险，通常不建议为API密钥启用提现权限，除非在某些特定的使用场景中有严格的安全措施和控制，如高频交易或自动化资金转移需求。在启用此权限之前，务必确保密钥的存储与使用方式足够安全，避免与其他不受信任的系统或第三方共享密钥信息。在启用提现权限后，建议实施双重身份验证（2FA）及其他额外的安全措施，以增加对资金安全的保护层级。对于大多数用户，建议仅在绝对必要时启用提现权限，并严格限制操作范围与频率。
d. 市场数据权限
市场数据权限赋予API密钥访问Bithumb交易平台的市场行情数据的能力，包括但不限于交易对的最新成交价格、24小时成交量、最高和最低价格、市场深度、买卖委托挂单等信息。通过这些数据，开发者可以实时监控市场的动态变化，分析市场趋势，为交易策略的制定提供数据支持。该权限还允许访问Bithumb平台的历史交易数据，如历史K线图、成交记录等，这对市场分析、算法交易、数据可视化等应用场景尤为重要。
这项权限通常被用于行情分析、自动化交易系统、交易数据汇总和展示平台、以及基于大数据分析的预测模型等。它能够提供高频次的数据更新，确保开发者可以获取到准确且及时的市场信息，从而有效指导交易决策和风险控制。为了保护用户的数据隐私和交易安全，市场数据权限通常限制了可以获取的数据种类和频率，确保不泄露敏感的交易数据。
2. 限制IP地址
为了提高API的安全性，Bithumb提供了一项功能，允许用户为其API密钥设置IP地址限制。通过启用此功能，用户可以明确指定一个或多个IP地址，只有这些被授权的IP地址才能使用该API密钥进行访问。任何尝试从未授权的IP地址发起的请求都将被API服务器拒绝，从而有效降低API密钥被滥用或盗用的风险。
这种IP地址限制机制为防止API密钥泄露提供了强有力的保障，尤其是当密钥的存储和传输存在潜在风险时。通过仅允许特定的IP地址或一组IP地址进行API访问，恶意用户即便窃取了API密钥，也无法从未授权的IP地址进行任何有效的操作。用户可以灵活地管理这些IP地址，随时添加或删除，确保只有经过严格审查的服务器或设备才能使用API密钥。
在实践中，开发者应始终建议启用这一安全功能，并在设置API密钥时，将访问权限严格限定在实际需要的IP地址范围内。通过这种方式，用户可以在保障API密钥安全的同时，减少潜在的攻击面。定期检查和更新授权的IP地址列表，也是保持API安全的有效手段。
3. 时间限制
Bithumb平台为保障API的正常运作与安全性，提供了多种限制选项，其中包括API请求的频率限制。用户可以根据自身需求配置请求的最大频率，包括每秒、每分钟、每小时内允许的最大请求次数。这一措施有效防止了API接口受到恶意滥用或暴力攻击，从而保护系统免于过载或数据泄露等风险。频率限制的设置不仅可以保障服务的稳定性，还能确保平台资源的合理分配。
例如，开发者在集成API时，可以根据业务需求设置每秒最多发送10个请求。通过这种方式，开发者可以有效避免短时间内的大量请求压垮服务器，同时降低恶意攻击者通过过度请求进行服务拒绝攻击（DDoS）的可能性。API请求频率的限制还可以帮助防止因过度使用资源而导致的性能下降或系统不稳定。
四、如何使用API权限
配置好权限后，开发者可以使用生成的API Key和Secret Key进行API调用。不同的权限对应不同的功能，具体使用方法如下：
1. 获取账户信息
通过API接口，用户可以使用资金权限查询账户的详细信息，包括账户余额、持仓情况、交易历史等。该接口通常使用GET请求方式进行访问。在发起请求时，必须在请求头中包含API Key和经过签名的安全凭证，以验证身份并确保请求的安全性。这些API接口允许用户以编程方式获取他们的账户信息，进而进行自动化交易和风险管理。
为了保证API请求的安全性，每个API调用需要一个API Key，这个密钥由交易所生成并提供给用户。为了防止重放攻击和确保数据完整性，API还要求提供签名。签名通常由请求的参数、时间戳、API密钥等信息计算生成，以保证请求没有被篡改。
为了执行此类API请求，您需要准备Python脚本，该脚本需要使用一些标准库，如requests来发送HTTP请求，time来处理时间戳，hashlib来生成签名，确保请求的安全性和时效性。
以下是一个示例代码，演示如何通过API获取账户信息：
import requests
import time
import hashlib
# 用户的API Key和API Secret
API_KEY = "your_api_key"
API_SECRET = "your_api_secret"
# 请求URL，通常包含API接口的根URL和查询路径
url = "https://api.bithumb.com/info/account"
# 生成当前时间戳，单位为毫秒
nonce = str(int(time.time() * 1000))
# 构建请求的签名字符串，通常包括nonce、API_KEY等
data = {
"apiKey": API_KEY,
"nonce": nonce,
}
# 按照一定规则生成签名（例如HMAC-SHA256）
signature = hashlib.sha256((API_SECRET + str(data)).encode('utf-8')).hexdigest()
# 将签名添加到请求数据中
data["signature"] = signature
# 发送GET请求并获取返回的数据
response = requests.get(url, params=data)
# 输出返回的账户信息
if response.status_code == 200:
print("账户信息：", response.())
else:
print("请求失败，状态码：", response.status_code)
在上面的代码中，首先生成一个包含当前时间戳的nonce值，并构建包含apiKey和nonce的请求数据。然后，使用hashlib库生成签名，确保请求的合法性。通过requests库发送请求，并检查返回的账户信息。
每次请求时，都会生成一个唯一的签名，以确保即使两次请求的参数完全相同，签名也会不同，从而防止重放攻击。签名的计算方式可能会因不同的交易所API而有所不同，因此在调用API之前，必须仔细阅读API文档，确保签名的生成方式正确无误。
构造请求参数
在进行加密货币API交互时，构造正确的请求参数是确保请求成功和安全性的关键步骤。通常，我们需要向API提供特定的参数，以验证请求的有效性和来源。以下是构造请求参数时常见的字段：
params = {
- "apiKey": 用于标识用户身份的唯一API密钥。该密钥由服务提供方在用户注册时生成，并且通常需要保密，以避免未经授权的访问。
- "nonce": 一个随机生成的数字或字符串，用于确保每个请求的唯一性。nonce字段的使用是防止重放攻击的有效方式，确保每次请求都是新的且不会重复。
- "timestamp"（可选）: 请求的时间戳，通常是UTC格式的当前时间。通过时间戳，API服务可以验证请求是否在合理的时间范围内，从而避免请求过时或遭到篡改。
- "signature"（可选）: 对请求参数进行哈希加密后的签名，保证数据的完整性和防篡改性。通过这种方式，接收方能够验证请求是否在传输过程中被修改。
- "method"（可选）: 指定API请求的类型或方法（如GET、POST等），有时需要明确指定请求的操作类型，以便服务端能够正确解析。
- "data"（可选）: 包含请求正文数据的字段，对于POST请求尤为重要。通常，此字段包含需要提交的具体数据，如交易信息、用户设置等。
上述字段会依据API服务的不同要求有所变化，但"apiKey"和"nonce"几乎是所有API请求中必须包含的基础参数。生成这些参数时，要确保它们的安全性，避免泄露敏感信息。
签名
在API交互中，签名是确保请求数据完整性和身份验证的重要环节。为了生成签名，首先需要将传入的参数（通常为键值对）进行编码。编码过程中，通过使用URL编码（如urlencode函数），将所有参数转化为适合在HTTP请求中传递的格式。
例如，param_string = urlencode(params) 将参数字典params转化为标准URL编码字符串。此时，param_string 会包含所有的查询参数，并且键值对的顺序对于签名的正确性至关重要。
接着，将编码后的参数字符串与API的密钥API_SECRET拼接在一起，形成一个唯一的签名基础字符串。这是因为密钥API_SECRET保证了只有拥有密钥的用户能够生成正确的签名，进而验证其请求的合法性。
生成最终的签名过程使用了SHA-512哈希算法，hashlib.sha512((param_string + API_SECRET).encode()).hexdigest() 会先对拼接后的字符串进行编码（转化为字节流），然后计算SHA-512哈希值，最后将结果转化为十六进制格式的字符串，以作为请求的签名值。
请求头
在发送HTTP请求时，尤其是在需要进行身份验证的API调用中，请求头（headers）是非常重要的组成部分。它包含了API调用所需的关键信息，如身份验证凭证、请求签名以及请求的唯一标识符。通过在请求头中传递这些信息，服务器能够验证请求的合法性并防止潜在的安全风险。
headers = {
"Api-Key": API_KEY,
"Api-Sign": signature,
"Api-Nonce": nonce
}
response = requests.get(url, headers=headers, params=params)
print(response.text)
2. 执行交易
启用交易权限后，用户可以通过API接口提交各种类型的交易请求。这些请求可以包括市场订单、限价订单、止损订单等，用户可根据市场情况和交易策略进行灵活操作。通过API执行交易的过程中，用户可以选择买入或卖出特定的数字货币，并指定交易对的目标货币和支付货币。例如，用户可以指定买入或卖出比特币（BTC）与法定货币美元（USD）之间的交易。API不仅支持常见的买卖操作，还可以设定交易的具体条件，比如价格、交易量等，以确保交易符合用户的需求。
在进行交易时，API请求的参数需要包含一系列必要信息，以确保交易请求的正确性和执行的顺利。以下是一个标准的API请求示例，其中包含了订单的主要参数：订单币种、支付币种、交易类型（买入或卖出）、价格、交易数量、API密钥等。通过这些参数，系统能够确定用户的交易意图以及交易执行的细节。
order_params = {
"order_currency": "BTC",
"payment_currency": "USD",
"type": "buy",
"price": "40000",
"units": "0.01",
"apiKey": API_KEY,
"nonce": nonce
}
在该请求中，"order_currency"指定了要交易的数字货币，这里是比特币（BTC）; "payment_currency"则指定了用于支付的法定货币，通常为美元（USD）。"type"参数指明了交易的方向，例如"buy"代表买入，"sell"代表卖出。交易的"price"参数设定了买入或卖出的价格，而"units"则定义了交易的数量或金额。在执行交易时，API密钥（"apiKey"）是用来验证请求的有效性，并确保交易安全，"nonce"参数是防止重放攻击的安全措施，保证每次请求的唯一性。
构造签名
在进行加密货币交易时，为了确保请求的安全性和完整性，系统通常需要生成一个签名来验证请求的合法性。签名的生成过程通常基于请求参数以及API密钥，使用加密哈希算法确保签名的不可篡改性。在本例中，签名是通过对请求参数进行URL编码，并结合API密钥，使用SHA-512加密算法生成的。
通过`urlencode()`函数对`order_params`进行URL编码，确保所有参数的格式符合请求规范。该编码过程会将参数中的特殊字符（如空格、&符号等）转化为URL安全的格式，这对避免请求中出现不必要的格式错误至关重要。
接下来，将生成的`order_string`与API的私密密钥`API_SECRET`拼接。此步骤是为了增强签名的唯一性与安全性，使得即使请求参数没有发生变化，未经授权的用户也无法伪造签名。拼接后的字符串通过`encode()`方法转换为字节流，以便进行哈希计算。
使用`hashlib.sha512()`方法对拼接后的字符串进行SHA-512哈希计算，生成一个固定长度的加密签名。该哈希值通过`hexdigest()`方法以十六进制的形式返回，作为请求的一部分附加在HTTP头部或请求体中。这个签名是交易请求的核心验证机制之一，能够有效防止中间人攻击及请求篡改。
请求头
order_headers = {
"Api-Key": API_KEY,
"Api-Sign": order_signature,
"Api-Nonce": nonce,
"Content-Type": "application/",
"User-Agent": "PythonRequests/2.25.1",
"X-Request-ID": "unique-request-id"}
在构建API请求时，`order_headers`用于设置HTTP请求头部信息。Api-Key字段包含了由API服务提供商发放的唯一API密钥，它用于验证请求的合法性。Api-Sign字段包含请求的签名值，它是通过对请求的内容及相关参数进行加密计算后生成的，这确保了请求数据的完整性和防篡改性。Api-Nonce字段通常是一个递增的整数或UUID，用于防止重放攻击，确保每个请求在API服务器上都是唯一的。额外的Content-Type字段指定了请求体的数据格式，通常在处理JSON数据时设置为application/。User-Agent则标识了发送请求的客户端程序类型。在某些API中，X-Request-ID可以作为请求的唯一标识符，用于追踪请求的生命周期。
order_response = requests.post(order_url, headers=order_headers, params=order_params)
在这里，requests.post方法被用来发送POST请求到指定的order_url地址。请求的头部信息由order_headers指定，而order_params包含了请求的查询参数，这些参数可能包括订单的详细信息或其他需要传递的数据。通过这种方式，API服务器可以通过请求头部和参数有效识别请求内容和身份。
print(order_response.())
调用order_response.()方法用于从响应中解析JSON格式的数据，并打印输出响应内容。在实际应用中，响应可能包含订单的处理结果、状态码或错误信息，这些信息对调试和进一步操作至关重要。
3. 市场数据查询
当用户启用了市场数据权限时，他们将能够通过API接口访问Bithumb平台的实时市场行情数据。这些数据包括但不限于最新交易价格、24小时内的成交量、价格波动幅度、最高价、最低价以及当前交易对的买卖深度等。这些信息对于进行市场分析和交易决策至关重要，帮助用户更好地理解市场走势，做出更精准的投资判断。
例如，用户可以通过访问指定的API接口获取比特币（BTC）/韩元（KRW）交易对的最新市场信息。该API返回的数据通常包含以下字段：'closing_price'（最新收盘价格）、'volume_1day'（24小时成交量）、'price_change_rate'（24小时涨跌幅度），这些数据对于投资者了解当前市场动态至关重要。
代码示例：
market_url = "https://api.bithumb.com/public/ticker/BTC"
market_response = requests.get(market_url)
market_data = market_response.()
current_price = market_data['data']['closing_price']
volume_24h = market_data['data']['volume_1day']
price_change = market_data['data']['price_change_rate']
print("当前比特币价格: ", current_price)
print("24小时成交量: ", volume_24h)
print("24小时涨跌幅度: ", price_change)
在实际应用中，API的返回格式可能会有所变化，因此在编写代码时，用户应注意根据API文档进行正确的字段访问和错误处理。对于获取多个交易对的市场数据，用户只需替换URL中的交易对参数（如从BTC切换到ETH），即可查询其他数字货币的相关数据。
五、权限管理的最佳实践
为了保证API接口的安全性，建议开发者在设置API权限时遵循以下最佳实践：
1. 最小化权限
在使用API密钥时，务必遵循最小化权限原则，只为密钥启用执行特定任务所需的最基本权限。例如，如果仅需要访问市场数据，应该仅授予API密钥市场数据查询权限，而避免启用不相关的权限，如交易执行或资金提现权限。启用不必要的权限不仅会增加潜在的安全风险，还可能导致API密钥在遭遇泄露时被滥用。应当定期审核和更新权限设置，确保每个API密钥的权限仅限于当前需求，并且不暴露额外的访问控制。例如，在一些平台上，可能可以为不同的操作创建专门的API密钥，而将它们的权限严格限定于单一功能，这样可以有效降低被攻击者利用的风险。许多平台允许设置IP白名单功能，限制只有特定IP地址能够使用API密钥，从而进一步增强安全性。
2. 定期轮换密钥
定期更换API密钥是确保系统安全的重要步骤。密钥可能会因多种原因泄露或被盗用，例如通过日志、错误配置或第三方服务的漏洞等。因此，定期更换密钥有助于最小化风险，特别是在怀疑密钥已被泄露或者不再需要的情况下。每次创建新密钥时，必须确保更新所有相关系统和代码中的密钥。这包括数据库配置、服务器端代码、以及任何依赖该API密钥的服务或客户端。对于多个服务使用相同API密钥的情况，应该特别谨慎，一旦其中一个密钥泄露，所有关联服务的安全性将受到威胁。密钥更新后，确保所有旧的密钥被及时废弃，并且相关的访问权限被撤销，以避免出现未授权访问的风险。为进一步提升安全性，密钥更新的频率可以根据业务需求和潜在威胁的评估进行调整。
3. 启用IP限制
为增强API密钥的安全性，可以通过设置IP限制来确保只有来自特定IP地址的请求才能访问API。通过指定一个或多个可信的IP地址，您可以有效防止未经授权的访问，降低API密钥被滥用或盗用的风险。这种限制机制对于防止恶意攻击者或不明来源的请求至关重要，特别是在使用API进行敏感操作或访问重要数据时。IP限制不仅可以确保只有您控制的网络环境可以进行交互，还能够帮助审计和追踪所有API访问活动，从而更好地识别潜在的安全问题或异常操作。对于需要对外开放API的服务，配置合适的IP白名单，可以显著提升服务的安全性，避免不必要的安全漏洞。
4. 保护Secret Key
Secret Key是API密钥的核心部分之一，通常与公钥（Public Key）一同使用，用于身份验证和数据加密。若Secret Key被泄露，恶意用户能够利用该密钥进行未经授权的访问，执行敏感操作，如资金转移、账户修改等，从而造成严重安全威胁。因此，确保Secret Key的安全性至关重要。
为了避免Secret Key被滥用，开发者应采取一系列的保护措施。Secret Key应始终存储在安全的环境中，避免直接写入代码中或存储在不安全的地方，如硬编码在应用程序源代码或配置文件中。开发者可以利用环境变量或加密的配置文件来存储Secret Key，确保其仅在需要时通过受保护的渠道访问。
为了防止在日志文件中暴露Secret Key，开发者应当避免记录包含敏感信息的日志输出。如果出于调试目的必须记录信息，敏感数据应当经过适当的脱敏处理或完全排除在日志外。许多日志管理工具和库提供了自动屏蔽敏感信息的功能，开发者应积极使用这些工具来增强安全性。
在使用Secret Key时，还应采用最小权限原则，确保该密钥仅授予必需的权限范围。通过API密钥管理平台或权限控制系统，可以为不同的应用和服务分配有限的权限，以最大限度减少潜在的滥用风险。密钥的定期轮换也是一个有效的安全措施，定期更新Secret Key可以降低密钥长期暴露的风险。
开发者应采取多层安全措施，如启用IP白名单、使用两因素认证（2FA）等，进一步增强API的安全性。这些防护措施可以有效地限制对API的访问权限，增加潜在攻击者滥用Secret Key的难度。
