REST API 与 MCP 集成
API 密钥管理
创建和保护 REST 凭据，理解密钥列表，并在更换套餐后仍能安全撤销或替换密钥。
修订日期
1. 访问条件与范围
位于 /api-keys 的 API Keys 页面管理 /api/v1/ 下 REST API 的凭据。创建密钥和使用此 API 均要求 Enterprise 或 Manufacturer 套餐，且订阅状态为 active 或 trialing。Free 和 Professional 不包含 REST 访问权限。
请登录后管理自己的密钥。降级或取消订阅后，仍可列出、撤销和删除已有密钥；这种安全管理权限不会恢复创建密钥或调用 REST API 的资格。密钥显示 Active，并不证明其所有者的订阅目前仍符合条件。
2. 创建具名密钥
此页面没有权限选择器、有效期选择器、重命名功能或请求速率编辑器。当前表单发送 calc:read 和 projects:read，不设置到期时间。不能凭权限名称推断接口能力：当前 REST 路由提供计算、制冷剂和 health 接口，没有项目读取接口。页面不提供通配符权限选项。
每个账户最多保存十条密钥记录，包括已撤销记录，并非十个活跃密钥。撤销会保留记录，不释放名额；通过页面删除已撤销记录才能释放名额。已有十条记录、正在加载、列表加载失败或套餐不符合条件时，New Key 会被禁用。
- 登录后打开 API Keys。等待列表加载完毕；如加载出错，先解决错误再创建密钥。
- 选择 New Key，或空列表中的 Create Key。在 Key Name 中填写能识别应用或环境的名称，不要写入秘密或客户信息。
- 单击一次 Create 并等待结果。名称两端空格会被去除，且不能为空；服务器最多接受 255 个字符。Cancel 关闭对话框，不会创建密钥。
- 成功后，从 Save your API key now 面板复制完整密钥，在关闭面板、离开页面或刷新前安全保存。
3. 仅显示一次与安全保存
REST 密钥以 exk_ 开头，后接 64 个十六进制字符。服务器保存 SHA-256 哈希和用于识别的 12 字符前缀，不保存可恢复的完整凭据副本。完整密钥只在创建响应中返回，之后不能通过列表再次显示。
使用复制按钮后，请确认完整凭据确实进入了获准使用的秘密存储系统。如果浏览器阻止剪贴板访问，请从仍可见的面板直接复制。复制提示本身不能证明秘密已正确保存。关闭面板会清除显示值；刷新或离开页面后便失去此次保存机会。
- 将秘密保存在服务器端秘密管理器或受保护的环境配置中，切勿放入浏览器端代码、公开代码库、截图、URL、提示词或共享计算文件。
- 在记录数量限制内，尽量为不同集成使用名称不同的密钥，便于发生事件时只替换受影响的凭据。
- 密钥遗失后没有显示或恢复操作。请找到并撤销旧记录，然后在套餐允许的情况下创建和配置替代密钥。
4. 正确理解列表与计数
管理响应仅返回明确列出的元数据，不包含哈希、完整密钥或所有者标识。页面表格不展示元数据中的请求次数、权限、到期时间或单个密钥速率限制。这里没有完整请求日志，也没有可编辑的密钥详情视图。
最后使用信息通过异步方式更新，发生于认证与速率检查之后、接口权限检查与计算完成之前。因此可能延迟，也不能证明计算成功。
| 显示项 | 含义与限制 |
|---|---|
| Name / Key | 所填名称，以及带省略号的识别前缀；前缀不能用作凭据。 |
| Active / Revoked | 表示记录处于启用或撤销状态。Active 不保证订阅资格，也不代表未过期。 |
| Created / Last Used | 按浏览器日期格式显示。Never 表示没有记录最后使用时间，不是完整审计保证。 |
| Active Keys / total | 活跃记录与全部存储记录分别计数。已撤销记录仍占用十条记录上限。 |
| Requests / min / Calculator Endpoints | 页面显示默认每分钟 100 次请求和六类计算器；这不是实时用量图或请求历史。 |
5. 认证、限制与请求错误
在集成中，通过 HTTPS 将完整 REST 密钥作为 Bearer 凭据放入 Authorization 请求头。前缀或 MCP 令牌均不可替代。下方只是请求头模板，不是需要执行的请求。请查阅接口参考中的实际输入约定和单位；密钥页面上的简短计算示例不是完整输入规范。
REST 默认限制为每个密钥每分钟 100 次请求。到达限流逻辑的响应包含 X-RateLimit-Limit、X-RateLimit-Remaining 和 X-RateLimit-Reset；Reset 是以秒计的 Unix 时间戳。当前限流器位于服务器进程内存中，不是保证跨副本共享的配额。页面默认值不构成吞吐量保证。
- 401：检查 Bearer 请求头是否缺失或格式错误、凭据类型是否错误、密钥是否被截断或无法识别。报告错误时切勿附上密钥。
- 403：根据响应消息区分已撤销、已过期、订阅不符合条件或缺少接口权限。创建另一把密钥不能解决订阅限制。
- 429：停止快速重试，等待计数窗口重置。输入或求解器错误与密钥管理不同；请保留返回的错误，不要将失败视为有效结果。
text
Authorization: Bearer <EXCOIL_REST_API_KEY>6. 先撤销，必要时再删除
页面仅对已撤销行提供 Delete。管理操作会检查所有者身份，降级后仍然如此。不要把 REST 密钥撤销与独立 MCP 连接的撤销混为一谈。
- 通过名称和前缀确认目标记录。对于正在使用的集成，先计划替换；如果怀疑泄露，应优先立即撤销。
- 在活跃记录上选择 Revoke。阅读确认说明并核对名称；Cancel 不做更改。准备好阻止该密钥的新请求时，再确认 Revoke key。
- 等待操作完成及列表刷新。该行应变为 Revoked，活跃数量减少，Revoke 替换为 Delete。已撤销密钥无法重新启用。
- 如需删除剩余记录并释放名额，在已撤销行选择 Delete，核对名称并确认 Delete key。永久删除记录后无法撤销此操作。
7. 确认结果与错误恢复
列表加载期间显示加载消息；加载失败时显示错误和 Try again。不要将加载失败误认为账户没有密钥。成功加载的空列表会显示 No API keys yet。创建和管理错误会显示服务器消息；撤销或删除错误也会保留在确认对话框内。
撤销或删除处理中，确认控件会被禁用，以免重复提交。如果请求失败或结果不确定，请保留不含秘密的错误消息，重新加载列表并检查目标行，然后再决定是否重试。重新打开或刷新页面能更新管理状态，但不能恢复刚生成的完整密钥。
- 创建结果不确定时，先按名称查找记录，避免重复创建。如果记录已存在但未保存秘密，请撤销并替换；无法从元数据恢复。
- New Key 持续不可用时，请检查订阅资格、列表加载错误及记录总数。单独撤销不会减少总数。
- 成功后核对预期状态：撤销后为 Revoked，删除后该行消失。刷新后仍不一致时，不要假定操作已成功，也不要在求助时暴露秘密。
8. 将 MCP 连接单独管理
MCP 在独立的 /mcp 页面管理，为 /api/mcp 使用专用 exm_ Bearer 令牌。REST exk_ 密钥不能作为 MCP 凭据，MCP 令牌也不能替代 REST 密钥。创建和使用 MCP 要求 Manufacturer 且状态为 active 或 trialing，仅有 Enterprise 不够。
MCP 使用手动 Bearer 配置，不是 OAuth。令牌具有独立权限范围、7/30/90 天有效期选项及独立撤销流程；读取项目需要另行选择授权。REST 表单没有这些控件。降级后仍可列出和撤销已有 MCP 连接。
请使用兼容客户端，以及已部署 MCP 页面显示的接口地址；提供此功能并不保证所有 AI 客户端都兼容。创建 REST 密钥或 MCP 连接不会授予制造文件、账单操作或管理权限。制造细节仍仅限 Manufacturer，并以实际产品工作流程为准。