YouTube、谷歌地图（Google Maps）、X（前身为“推特”）、Spotify和OpenWeatherMap有什么共同点？它们的内容都可以嵌入到平台之外的地方。这一切都要归功于应用程序编程接口（API）。
API实际上是两种软件之间的通信方式，例如，你的网站，以及你想要嵌入的Spotify播放列表。API为数字工具提供了广泛的公共访问权限。然而，就像一栋有门禁的建筑一样，你必须限制授予权限的对象，避免滥用。这就是API密钥发挥作用的地方。
什么是API密钥?
API密钥是一个唯一标识符，可以验证你向应用程序编程接口（API）发出的请求。API技术让软件产品的各种版本能够出现在第三方网站上。
如果你曾在博客上播放过Spotify的播放列表，或在酒店网站上与谷歌地图的小部件互动过，就使用过API；而你访问的网站则使用了API密钥来访问该API及其数据。
API密钥是一种保障接口安全的方式，它能够确保只有特定的用户或经过授权的应用程序才能访问并与该API进行交互。每个特定的API密钥，也就是私有API，用于控制对服务或数据的访问权限。从本质上说，这是一种用户身份验证方式，用以确认某个个人或实体是否有权获取该信息。
公共API密钥与私有API密钥
API密钥可以识别项目、授予项目权限，以及管理应用程序的使用情况。它们还允许API提供商设置访问限制，控制访问信息的主体以及访问次数，从而防止滥用行为，比如恶意刷请求或数据泄露。两种主要类型的密钥控制API调用：公共密钥和私有密钥。以下是它们在安全性和保密性方面的比较:
安全性
公共应用程序的使用很少需要交换绝密数据，因此，公共API密钥不提供最强级别的保护。
私有API密钥更安全，你通常可以使用这类密钥访问敏感数据或在API内执行关键操作。私有API密钥通常是专有应用程序或内部记录保存工具的一部分，出于安全目的需要API密钥。此类密钥可能还需要一个密钥令牌或其他安全机制来增强应用程序的使用跟踪能力，并防止未经授权的访问。它们还支持筛选日志（根据不同标准查看数据子集），以便追踪授权应用程序的行为，并检测任何潜在的滥用。
保密性
任何人都可以访问公共API密钥。在API调用期间，你可能会在请求标头或URL查询字符串中看到随机生成的字符。如果你仔细查看嵌入式YouTube视频的长URL，可能会注意到末尾的独特的API密钥。
API密钥由应用程序安全地存储，绝不能将其分享给任何人。
API密钥的工作原理
API密钥在确保应用程序编程接口的安全性方面发挥着至关重要的作用。它们提供访问控制，只有经过批准的用户和应用程序才能访问API中的敏感数据。以下是API密钥如何识别用户并授予访问权限的总结：
生成
API提供商为每个需要访问API的用户或应用程序生成一串字符。这个独特的API密钥充当凭证，证明该请求是经过授权的一方发出的。
身份验证
当用户发出API请求时，请求中会包含API密钥。API服务器会根据授权密钥数据库验证该API密钥。如果密钥有效，服务器将授予API访问权限。对于密钥无效或缺失，API提供商会拒绝访问。
应用程序访问
对于已批准的API请求，API服务器将授权其访问自身资源的权限。访问级别和API使用情况取决于密钥的权限。例如，如果API密钥将请求者识别为开发者账户，服务器可能会授予完全访问权限。如果密钥识别的是第三方应用程序流量，可能会对API服务的访问施加更多限制。
速率限制
为了防止滥用并确保公平使用，API提供商通常会实施速率限制，即对应用程序在指定时间段内可以发出请求的次数设置上限，将API消耗保持在合理水平。速率限制可以确保众多不同的人和应用程序都能访问API。
安全性
API密钥是一种基本的身份验证形式，也可以将其与别的安全机制结合使用，比如IP白名单、加密或OAuth令牌，用来识别应用程序流量和增强安全性。在所有情况下，都应该将API密钥视为敏感信息并加以保密。不要向他人共享API密钥或将其硬编码到应用程序中。
API密钥的常见用途
系统管理员使用API密钥来控制对API的访问、确保安全性，以及促进API集成。这些密钥提供了一道关键的安全防线，用来防范数据窃贼和那些试图过度占用API资源的第三方应用程序。以下是API密钥最常见的几种使用方式：
控制访问
API密钥控制对API数据或服务的访问，确保只有授权应用程序才能进行API调用。当API生产者向请求应用程序提供密钥时，他们允许该应用程序与其服务交互，如检索数据或执行特定操作。
私有API密钥对于保护敏感数据尤为重要，而公共API密钥适用于不太敏感的操作。Google Cloud Platform Console（GCP控制台）等平台上的项目API密钥允许开发者根据特定项目控制访问权限。
用户授权
API密钥还可以与身份验证令牌配对以实现安全授权。这确保只有经过身份验证和授权的用户才能与API交互。密钥使用（无论是否需要安全身份验证令牌）将阻止匿名流量并防范潜在的恶意活动。
识别使用模式
API密钥通过跟踪API调用背后的个人用户或应用程序，帮助API提供商识别使用模式。这种跟踪可以让提供商监控应用程序使用情况、设置速率限制并优化整体服务。例如，YouTube API密钥可以识别特定应用程序访问视频或数据的频率，谷歌地图API密钥可以跟踪位置数据请求。
阻止未经授权的流量
API密钥可以通过仅处理带有有效API密钥的请求来过滤掉匿名流量。私有API密钥确保只有合法流量才能获得访问权限，同时阻止请求以防止潜在的恶意活动。
自动化集成和应用程序任务
你可以使用API密钥来自动化那些需要与第三方服务集成的软件或系统的任务。例如，开发者通过API密钥自动从外部来源获取数据，比如使用YouTube API密钥将视频数据拉取到自己的应用中。对API密钥进行妥善管理，有助于确保这些集成的安全性和可靠性。
使用API密钥的最佳实践
安全高效地使用API密钥可以防止恶意用户未经授权的访问，并保持对API调用和项目授权的控制。以下是使用API密钥时可以采用的几个最佳实践：
1. 安全存储API密钥。切勿在应用程序中以明文形式存储API密钥，而应使用环境变量或加密配置文件等安全方法来保护它们。
2. 尽可能限制访问。仅授予API密钥执行其预期功能所需的必要权限，因为授予广泛的访问权限可能会导致意外后果。
3. 定期轮换API密钥。就像互联网用户应该轮换密码一样，系统管理员应该定期重新生成API密钥以降低未经授权访问的风险。
4. 监控密钥使用情况。跟踪API密钥使用模式以检测潜在的安全漏洞或未经授权的访问。
5. 实施速率限制。限制用户在特定时间段内使用API密钥发出的请求数量，以防止滥用并确保公平使用，这样，你的软件就不会在大量请求中崩溃。
6. 使用API密钥管理工具。考虑使用专门的API密钥管理工具来简化生成、存储、更改和撤销密钥的过程。
什么是API密钥——常见问题
如何存储API密钥?
安全地存储API密钥。使用环境变量、加密配置文件或专门的API密钥管理工具来存放API密钥。切勿将API密钥硬编码到源代码中。
API密钥有什么作用?
API密钥用于验证和授权应用程序访问API的数据或服务，并与之交互。API密钥可以确保只有经过批准的用户（无论是个人还是应用程序）才能发出API请求。
谁需要API密钥?
如果你需要访问基于网页的应用程序编程接口（API）的数据或功能，就需要API密钥来获取访问权限。
