指南

Key 权限

给每个应用或 agent 一把只能做它该做的事的 key:限定功能、限定 API、花费上限和有效期。网关在每次请求计费之前检查。

key 能做什么

在控制台 → API Keys 新建 key 时设置权限,之后也可以在它的设置里改。什么都不选 = 全部权限,现有的 key 都是这样。

功能

call

调用市场 API(/gw、/v1/run、MCP 工具)和你的托管网关路由。

ai

使用 AI 网关(/ai/v1)。

ws

打开 WebSocket 连接。

runs:read

查看运行结果和记录(/v1/runs)。

wallet:read

查看余额和流水(/v1/wallet)。

api:<slug>

只允许这些市场 API。在控制台按名字选,可以选多个。

两类各自生效:只选了 API,功能不受限;只选了功能,API 不受限。
/v1/auth/whoami 任何有效 key 都能调用,会返回它的权限,工具可以据此判断能做什么。
发现接口(/v1/discover、/v1/inspect)不需要 key,也不受限制。

不允许的调用

网关返回 403,并说明缺哪个权限或 API。不扣费,也不会转发给上游。

403

HTTP/1.1 403 Forbidden
{
  "error": "this API key can't call AI models (missing scope ai)",
  "statusCode": 403
}

查看一把 key

bash

curl -s https://gw.pikeway.ai/v1/auth/whoami -H "Authorization: Bearer $PIKEWAY_API_KEY"

{
  "email": "[email protected]",
  "key": {
    "name": "nightly-agent",
    "scopes": ["call", "api:birdeye", "api:dexscreener"],
    "fullAccess": false,
    "expiresAt": "2026-11-26T00:00:00Z",
    "budget": { "limit": 5, "used": 0.42, "currency": "USD" }
  }
}

用 CLI:pikeway whoami。

给无人值守的 agent 用的 key

权限:只给 call,并只允许任务用到的 API。
设花费上限(美元,累计),避免循环调用耗光余额。
设有效期(7、30 或 90 天),被遗忘的 key 会自动失效。
每个 agent 一把 key,用量和花费分开看。

被吊销、轮换和过期的 key 会在「已吊销」里保留 90 天,带原因和花费。