认证与密钥
所有受保护接口使用 Bearer Token 认证。
请求头
Authorization: Bearer kemo_xxxxxxxxxxxxxxxx只支持这一种方式。不接受 query 参数传 key（会进访问日志，不安全）。
密钥形态
| 项 | 说明 |
|---|---|
| 前缀 | kemo_，便于识别与日志脱敏 |
| 存储 | 服务端只存 SHA-256 哈希，不存明文 |
| 归属 | 每把 Key 绑定一个用户，扣费走该用户积分 |
| 权限 | 默认 music:generate |
| 限流 | 默认 20 次/分钟，可按 Key 调整 |
| 有效期 | 可设过期时间；不设则长期有效 |
| 吊销 | 在密钥管理页禁用，立即生效 |
不要把 Key 写进前端代码。浏览器端能拿到的任何东西都不安全。 Key 应该只存在于你的服务端，由你的后端调用本 API。
鉴权失败的表现
| 代码 | 含义 | 排查 |
|---|---|---|
40101 | 缺少 API Key | 请求头是否带了 Authorization |
40102 | Key 无效或已禁用 | 是否被吊销 / 已过期 / 拼写错误 |
健康检查 GET /v1 不需要认证，可用于监控探活。
多 Key 场景
可以为不同环境（开发 / 测试 / 生产）各建一把 Key，独立限流与吊销，互不影响。
kemo Music API · 聚合多引擎音乐生成 · 文档随实现同步更新
最后更新：2026-10-23 · 有问题请联系站点管理员
最后更新：2026-10-23 · 有问题请联系站点管理员