网关与认证

​

网关与平台域名

​

获取 API Key

​

API Key 说明

• 统一密钥：一个 API Key 即可调用平台上所有模型（GPT、Claude、Gemini 等），无需为每个模型单独申请
• 按量扣费：调用时自动从账户余额扣除对应 token 费用

​

请求头

Authorization: Bearer YOUR_API_TOKEN
Content-Type: application/json

​

常见认证 / 计费错误

​

401 — Token 无效

{
  "error": {
    "code": "invalid_token",
    "message": "The specified token is invalid or wrong."
  },
  "trace_id": "2efa9340-b21b-4e26-9e14-4aac95f343ab"
}

• invalid_token：Token 拼写错误或已撤销
• token_expired：Token 已过期
• token_mismatched：Token 格式不匹配

​

400 — 请求格式问题

• bad_request：JSON payload 不合法
• no_token：缺少 Authorization 头

​

403 — 余额耗尽或访问受限

{
  "error": {
    "code": "used_up",
    "message": "Your balance is not sufficient, please top up at https://api.xhuoapi.ai"
  },
  "trace_id": "..."
}

• used_up：账户余额不足，请充值
• disabled：令牌已被禁用
• forbidden：上游内容审核拒绝（敏感词、版权材料等）

​

404 — 接口不存在

• no_api：请求路径未注册

​

429 — 触发速率限制

{
  "error": {
    "code": "too_many_requests",
    "message": "You have exceeded the rate limit."
  },
  "trace_id": "..."
}

​

500 / 504

• api_error：网关或上游内部错误
• timeout：上游推理超时

​

安全最佳实践

• 永远不要把 Token 硬编码到浏览器 / 移动端 / 桌面端代码里——一定要走自己的后端中转
• 用环境变量或密钥管理服务保管 Token
• 为开发、预发、生产分别创建独立 Token
• 怀疑泄漏时立刻在控制台撤销并重新生成

​

下一步