API 凭证管理

兑换授权码、查看与管理你的 API 凭证

API 凭证管理
一套凭证 = API 标识（apiId）+ API 密钥（apiKey），标识与密钥是一套的，调用登录 API 时配套携带即可。凭证用途由审核员发放授权码时指定（MC 服务器登录 / 通用登录），用户不可自选；每个用途最多 10 套，删除后序号不复用。
每日额度按 UTC 每日零点重置；「API 接入申请」授权码额度默认 100，「API 密钥申请」授权码额度以发放值为准（两类授权码均可在本页兑换）。
人机验证策略：兑换生成、停用、删除、作废均为敏感操作，点击后会弹出人机验证模态框，完成验证后才会执行（一次性有效）。
危险操作额外校验：停用 / 删除 / 作废需验证本标签页登录态（关闭标签页或浏览器后需重新登录），兑换生成仅需人机验证即可。
存量旧 API 密钥（原服务器密钥）继续可用，调用时额外携带 X-Server-Key 头即可，仅支持作废 / 删除管理。
凭证用途由审核员发放授权码时指定，兑换时不可自选；点击兑换按钮后会弹出人机验证，完成验证后才会生成凭证。
凭证（API 标识） 用途 今日额度 状态 创建时间 最近使用 操作
加载中...

OAuth 应用（外部开发者接入）

注册应用后，外部开发者可通过 OAuth 2.0 授权码 / 设备码流程，在用户细粒度授权后获取其公开信息与皮肤站角色数据。

注册新应用
在下方权限总表中勾选应用所需的权限，并将每一项标记为「必要」或「可选」：必要权限在用户授权时锁定不可单独取消（用户不同意只能整体拒绝）；可选权限由用户在授权页自行勾选，最终仅授予用户确认的权限。client_secret 仅在创建 / 重置时展示一次。
每个用户可创建应用数 = 账号等级 + 1；新创建需授权码（工单审核发放），提交后仍需审核员审核通过才能发起授权。
我的应用
应用 AppID 权限 回调 状态 活跃令牌 操作
加载中...
接入指引（外部开发者）
应用创建后获得 AppID（client_id）+ client_secret。用户打开授权页完成细粒度授权后，你的应用获得访问令牌（Bearer，24 小时）与刷新令牌（30 天）。
GET/oauth/?client_id=…&redirect_uri=…&state=…&scope=…授权码流程：引导用户到授权确认页
POST/api/oauth/tokengrant_type=authorization_code / refresh_token / device_code
POST/api/oauth/device设备码发起（启动器 / CLI，无需回调地址）
GET/api/oauth/userinfoBearer token → 按 scope 返回公开信息（登录态验证）
GET/api/oauth/charactersBearer token → 按 scope 返回角色与材质信息
令牌端点为标准 OAuth 2.0 语义（JSON / 表单 / Basic 均可），错误按 error 字段返回（authorization_pending / expired_token / access_denied 等）。授权码有效期 10 分钟且一次性；设备码轮询间隔 5 秒。