权限范围

Admin Key 的每一项能力都要显式勾选，没勾的一律拒绝。

Admin Key 采用默认拒绝：只有你显式勾选的作用域对应的接口才能调用，其余全部拒绝。

五项作用域

作用域	能做什么	默认勾选
account:read	查看账户资料与余额	是
logs:read	查看调用日志的明细与统计，并导出	是
usage:read	导出用量透视，可按时间、模型等维度	是
keys:read	查看 API 密钥的列表与单枚详情，不含明文	否
keys:write	创建、修改、删除 API 密钥，仍然拿不到明文	否

默认勾选的三项全是只读。写能力需要你手动勾，勾的时候界面会给出提示。

每项作用域覆盖的接口

account:read

方法	路径	说明
GET	/api/user/self	账户资料，含余额

logs:read

方法	路径	说明
GET	/api/log/self	日志明细列表（JSON，分页）
GET	/api/log/self/count	日志总条数（请求次数）
GET	/api/log/self/stat	调用统计（消费、RPM、TPM）
GET	/api/log/self/stream-export	导出日志明细（CSV）

usage:read

方法	路径	说明
GET	/api/data/self/pivot/stream-export	导出用量透视（CSV）

keys:read

方法	路径	说明
GET	/api/token/	API 密钥列表
GET	/api/token/{id}	单枚密钥详情

keys:write

方法	路径	说明
POST	/api/token/	创建密钥
PUT	/api/token/	修改密钥
DELETE	/api/token/{id}	删除密钥

完整的参数与响应见 API 参考。

被拒绝时的响应

两种拒绝形态，区别在于能不能通过补勾作用域解决。

缺少作用域

接口本身对 Admin Key 开放，但这枚 Key 没勾对应的作用域。去编辑这枚 Key 补勾即可。

{
  "success": false,
  "code": "admin_key_scope_missing",
  "message": "管理 Key 缺少所需的作用域: keys:read"
}

message 末尾会写明缺的是哪一项。

接口不开放

这条接口不对 Admin Key 开放，补勾任何作用域都没有用。需要登录控制台操作。

{
  "success": false,
  "code": "admin_key_scope_forbidden",
  "message": "该接口不对管理 Key 开放，请登录后台操作"
}

管理端、代理商端、供应商端的接口也返回这个 code，文案会额外说明这是管理端接口。

TIP

把 Admin Key 当成 API 密钥去调 /v1/chat/completions 会得到一条专门的提示，而不是含糊的「令牌无效」。看到那条提示说明你用错了凭据类型。