blocks|key|3380405|text|您需要的只是唯一标识用户的东西……只需使用UUID或UUID的散列即可。|type|unstyled|depth|inlineStyleRanges|entityRanges|data|3380406|只需确保此ID是通过安全通道传递的，如果您正在通过不安全的通道传递它，则可能需要实现一些类似于HTTP摘要身份验证的方法来保护ID。|3380407|entityMap^0|0|0^^$0|@$1|2|3|4|5|6|7|F|8|@]|9|@]|A|$]]|$1|B|3|C|5|6|7|G|8|@]|9|@]|A|$]]|$1|D|3|-4|5|6|7|H|8|@]|9|@]|A|$]]]|E|$]]

What you need is just something that uniquely identifies the user... Just use a UUID or maybe a hash of a UUID.

Just make sure that this ID is passed over a secure channel, if you are passing it over an insecure channel you may need to implement some method of securing the ID similar to HTTP digest auth.

blocks|key|4227213|text|看看几乎所有的Web2.0站点/服务。它们都有不同程度的认证和管理API密钥。Flickr、Twitter、Github等。|type|unstyled|depth|inlineStyleRanges|entityRanges|data|4227214|entityMap^0|0^^$0|@$1|2|3|4|5|6|7|D|8|@]|9|@]|A|$]]|$1|B|3|-4|5|6|7|E|8|@]|9|@]|A|$]]]|C|$]]

Take a look at almost any Web 2.0 site/service. They all have varying degrees of doing auth and managing API keys. Flickr, Twitter, Github, etc.

blocks|key|3380466|text|根据需求，在web+API的世界中，给你的合作伙伴/开发人员一个API密钥(标识)并要求他们对调用进行签名(身份验证)是非常标准的。有很多方法可以指定签名。现在很常见的一种方法是:获取调用的所有参数、时间戳(%2B/-+5分钟抖动)、共享密钥，并使用SHA-1或MD5+(SHA-1更好)对其进行散列。|type|unstyled|depth|inlineStyleRanges|entityRanges|data|3380467|你可以自己实现它，也可以找一个合作伙伴(有几个)来帮你实现它。|3380468|entityMap^0|0|0^^$0|@$1|2|3|4|5|6|7|F|8|@]|9|@]|A|$]]|$1|B|3|C|5|6|7|G|8|@]|9|@]|A|$]]|$1|D|3|-4|5|6|7|H|8|@]|9|@]|A|$]]]|E|$]]

Depending on requirements, in the world of web api's, giving your partners/developers an API key (identification) and requiring they sign the calls (authentication) is pretty standard. There are lots of ways to spec signatures. A pretty common one these days is; take all params of the call, a timestamp (+/- 5 min wiggle), a shared secret, and hash it using SHA-1 or MD5 (SHA-1 better). 

You can either do implement this yourself or find a partner (there are a few) to do it for you.

blocks|key|949857|text|这里建议的一般方法(使用包含API密钥和当前时间的散列)都很好-当然比在消息中包含“密码”更好。|type|unstyled|depth|inlineStyleRanges|entityRanges|data|949858|然而，有一种称为HMAC的密码标准方法来完成这种"mung“操作。如果您想要更标准/更健壮/更安全的东西，那么值得一看。|949859|最后，显然还有来自安全选项的“黄金标准”--使用数字证书签署所有请求(计算成本可能很高)，或者用于签署初始请求，然后生成有限的使用会话密钥(例如，只有一个API，60分钟后过期)。|949860|或者，您可以将双向SSL用于传输层，并在应用程序/+API中简单地信任它。|949861|真的取决于你想要的安全程度。:]|949862|entityMap^0|0|0|0|0|0^^$0|@$1|2|3|4|5|6|7|L|8|@]|9|@]|A|$]]|$1|B|3|C|5|6|7|M|8|@]|9|@]|A|$]]|$1|D|3|E|5|6|7|N|8|@]|9|@]|A|$]]|$1|F|3|G|5|6|7|O|8|@]|9|@]|A|$]]|$1|H|3|I|5|6|7|P|8|@]|9|@]|A|$]]|$1|J|3|-4|5|6|7|Q|8|@]|9|@]|A|$]]]|K|$]]

The general approach being suggested here (to use a hash which includes an API key and the current time) are all good - certainly better than including a "password" in the message.

However, there is a crypto standard way of doing this "mung" operation called HMAC. Well worth looking at if you want something more standard / robust / safe.

Finally there is obviously the "gold standard" from security options - use a digital certificate to sign either all requests (can be computationally expensive) or use to sign an initial request which then generates a limitted use session key (e.g. one API only, with an expiry after 60 minutes).

Alternatively you could use 2-way SSL for the transport layer and simply trust that within the application / API.

Really depends how secure you want it... :]

blocks|key|163785|text|我不会只使用用户提交的数据，因为这可能会造成API密钥是可猜测的情况。通常，我会获取一些用户生成的数据，然后将其与一些相对唯一的数据(例如，当前系统时间)组合在一起，并使用SHA-1或其他方法进行散列，如果我不希望它明显是SHA-1散列，可能会更改表示，然后将其用作键。|type|unstyled|depth|inlineStyleRanges|entityRanges|data|163786|entityMap^0|0^^$0|@$1|2|3|4|5|6|7|D|8|@]|9|@]|A|$]]|$1|B|3|-4|5|6|7|E|8|@]|9|@]|A|$]]]|C|$]]

I wouldn't just use user submitted data, as that can create a situation where API keys are guessable. Generally, I take some data that is generated by the user, and then combine it with some data that is relatively unique (ie, current system time) and hash that using SHA-1 or something, perhaps change the representation if I don't want it to obviously be a SHA-1 hash, and then use that as the key.

I'm looking at building an API and was considering oauth for managing access to the api, but what I'm doing is more of a b2b system allowing businesses to access data to incorporate into their sites. I won't have any b2c at the beginning. 

So oauth doesn't seem like the right tool for me, I've been looking for sources regarding building a key based system, but haven't come across anything. 

Is something available out there already? 
Is it best to just create a hash of some user submitted data or something like that?

How do you manage api keys

翻译质量差，导致语言生硬或混乱。

没有提供实际的解决方法或示例。

解答不清晰，无法理解或解决问题。

页面排版不美观，阅读体验差。

文章

问答

视频

教程

学习中心

腾讯云实验室

直播

竞赛

腾讯云代码分析专区

腾讯iOA零信任安全管理系统专区

腾讯云架构师技术同盟交流圈

腾讯云数据库专区

腾讯云智能顾问专区

腾讯云原生专区

腾讯混元专区

腾讯云TCE专区

腾讯云Lighthouse专区

腾讯云HAI专区

腾讯云Edgeone专区

腾讯云存储专区

腾讯云智能专区

腾讯轻联专区 

腾讯云开发专区

TAPD专区

腾讯轻量云游戏服专区

EdgeOne AI 安全实战专区

腾讯云最具价值专家

腾讯云架构师技术同盟

腾讯云创作之星

腾讯云开发者先锋

腾讯云代码助手

云原生构建

TAPD 敏捷项目管理

Cloud Studio

SDK中心

API中心

命令行工具

涵盖代码开发、场景应用、自动测试全流程，助你从零构建专属AI助手

一站式MCP教程库，解锁AI应用新玩法

聚焦“写作效率、视觉美观与运行性能”三方面进行全面升级，为您提供更高效、稳定的创作环境

社区富文本&Markdown编辑器全新改版上线，欢迎大家体验!

诚挚邀请您参与本次调研，分享您的真实使用感受与建议。您的反馈至关重要，感谢您的支持与参与！

社区新版编辑器体验调研

我正在考虑构建一个应用程序接口，并考虑使用oauth来管理对该应用程序接口的访问，但我所做的更多的是一个b2b系统，允许企业访问数据并将其合并到他们的站点中。一开始我不会有任何b2c。所以oauth对我来说似乎不是合适的工具，我一直在寻找关于构建基于键的系统的资源，但还没有遇到任何东西。已经有可用的东西了吗？最好是创建一些用户提交的数据的散列或类似的东西？

问如何管理api密钥
EN

回答 5

Stack Overflow用户

Stack Overflow用户

Stack Overflow用户

社区

活动

圈层

关于

腾讯云开发者

热门产品

热门推荐

更多推荐

问如何管理api密钥EN

回答 5

Stack Overflow用户

Stack Overflow用户

Stack Overflow用户

社区

活动

圈层

关于

腾讯云开发者

热门产品

热门推荐

更多推荐

问如何管理api密钥
EN