API 密钥与认证

AskAIs 智能客服系统 提供两类凭据：

• API 密钥 —— 供你的后端以工作区身份调用 REST API
• 收件箱密钥 —— 用于签名访客身份识别载荷

API 密钥

在 设置 → API Keys 中生成。密钥仅显示一次。以 bearer 令牌形式传递：

curl https://cs.askais.com/api/v1/conversations \
  -H "Authorization: Bearer sk_live_xxxxxxxxxxxxxxxxxxxxxxxxxxxx"

可随时吊销 —— 系统存储的是密钥的哈希值，而非明文。

签名访客身份识别

对于已登录用户，请在服务端签名身份识别载荷，以防恶意访客冒充其他用户：

// Node.js example
import { createHmac } from "node:crypto";

const payload = JSON.stringify({
  externalId: user.id,
  email: user.email,
  ts: Date.now(),
});

const signature = createHmac("sha256", INBOX_SECRET_KEY)
  .update(payload)
  .digest("hex");

res.json({ payload, signature });

然后在浏览器中将两者一并传给 SingChat.identify()：

SingChat.identify(JSON.parse(payload), signature);

轮换密钥

轮换收件箱密钥会立即使旧签名失效。请规划好部署窗口；轮换后，在你的后端下发新的签名载荷之前， 客户端会回退到匿名聊天。

速率限制

• 公共 API 密钥：每个密钥每分钟 60 个请求（峰值 120）
• 挂件身份识别：每位访客每分钟 10 次
• 消息发送：每个会话每分钟 30 条