API Key 鉴权

创建与调用

打开应用列表，选择应用，在Credentials的API Keys区域创建key并填写允许scope。创建时一次展示的明文放入安全后端配置，不进入Git、日志或客户端代码。

规范API Key头是 X-API-Key，不要把key当成用户OAuth token。只有端点允许API Key、主体满足身份要求且scope足够时才能调用。示例只说明传递方式，请选择你有权限的实际端点：

curl --fail-with-body "${APPFORGES_API_BASE_URL}/v1/users/me" \
  -H "X-API-Key: ${APPFORGES_API_KEY}" \
  -H "X-AppForges-Api-Version: 2026-04-01"

该profile端点要求用户身份及 user:profile:read，组织/服务key不能凭空提供用户身份。用户首次接入建议使用OAuth流程。

有效期、scope和主体以key实际配置为准，不宣称key永不过期。轮换、撤销见API Key管理。