PID/AppKey 获取与安全调用设置教程

网程聚合数据 2026-10-31 05:36 8 阅读新手教程

PID 与 AppKey 在用户中心 API密钥设置页查看。本教程说明生成与重置密钥、两种调用地址的区别，以及安全签名开关与 IP 白名单的填写规则。

调用平台接口需要一对凭据：PID（用户 ID）与 AppKey。两者都在用户中心「API密钥设置」页查看，页面上还能设置调用方式、安全签名开关与 IP 白名单。

本教程说明这对凭据在哪里获取、两种调用地址的区别，以及三个安全设置项怎么填。

## 一、PID 与 AppKey 是什么

- **PID**：就是你的用户 ID，一个整数，与「账号信息」页显示的「用户ID」是同一个值，注册后即固定不变。
- **AppKey**：32 位字符的密钥，由平台生成，**可以随时重置**。它等同于你调用接口的身份凭证，泄露后他人可以用你的账号发起调用并消耗你的点数。
- **两者都在同一页明文显示**，无需额外验证即可查看和复制。
- **调用地址形态**：`https://www.phpwc.cn/api/{接口标识}`，接口标识（`jk_mark`）在接口文档页与「开发者中心」→「API接口列表」里都能查到。
- 平台不做按接口授权，密钥生成后即可调用任意已启用接口，单价与参数见各接口文档页。

## 二、生成与查看密钥

**第 1 步：进入 API密钥设置页。** 登录 <https://www.phpwc.cn/member/login> 后，访问 <https://www.phpwc.cn/member/apikey>，或在用户中心左侧菜单点击「用户信息」→「API密钥设置」。页面默认停在「API配置」选项卡。

**第 2 步：生成 AppKey。** 如果还没有密钥，页面会显示「您尚未生成 API 密钥。」，点击「生成 AppKey」，提示「API密钥已生成」后约 1 秒页面自动刷新。已生成过的账号直接看到「API密钥」卡片里的 PID 与 AppKey 两个只读框。

**第 3 步：复制。** 两个框右侧各有「复制」按钮，点击即写入剪贴板（按钮不会额外弹出成功提示，粘贴一次确认即可）。

**第 4 步：需要更换时点「重置密钥」。** 会弹出确认框「确定要重置 AppKey？重置后旧密钥将立即失效。」，确认后提示「API密钥已重置」，约 1 秒刷新并显示新密钥。重置没有次数限制，也不需要验证码。

> 重置后请立即更新你服务端保存的密钥。签名调用会立刻按新密钥校验；由于鉴权结果存在短时缓存，**旧密钥的简单调用地址在最长约 1 分钟内仍可能被接受**，这也是为什么怀疑泄露时除了重置，还建议同时开启下面的安全签名开关或 IP 白名单。

> 安全提示：AppKey 只应保存在你的服务端配置里，不要写进前端页面、App 客户端、小程序代码或公开仓库。页面上没有打码显示，截图分享时请注意遮挡。

## 三、两种调用地址与三个安全设置

### 两种调用地址

「API调用方式」卡片给出两条地址，都指向同一个接口，区别只在凭据怎么传：

| 方式 | 地址形态 | 说明 |
|---|---|---|
| 安全调用 | `https://www.phpwc.cn/api/{接口标识}` + `pid` 与 `sign` 参数 | 需要按签名算法算出 `sign`，AppKey 本身不出现在请求里 |
| 简单调用 | `https://www.phpwc.cn/api/{接口标识}?appkey={你的appkey}` | 直接拼 AppKey，无需签名，页面上的「复制」按钮会带上你的真实密钥 |

**签名算法**：`sign = MD5("pid=" + PID + AppKey)`，取 32 位十六进制小写。也就是把字符串 `pid=`、你的 PID、你的 AppKey 三者**直接顺序拼接**（中间没有 `&`、没有别的符号），再做一次 MD5。业务参数不参与签名，没有时间戳与随机数，因此同一个账号的 `sign` 是固定值，算一次可以长期复用。比对时大小写不敏感。

`pid` 与 `sign` 可以放在请求头 `X-Pid` / `X-Sign`，也可以放在 URL 查询参数或 POST 表单里，平台按这个顺序取值。多语言示例见 <https://www.phpwc.cn/doc?tab=api&page=sign_algo>。

### 三个安全设置项

在「API 安全设置」卡片里填写，点「保存设置」提交，成功提示「API安全设置已保存」。这三项保存后立即生效。

| 设置项 | 形态 | 作用与填写说明 |
|---|---|---|
| API 调用开关 | 开启 / 关闭 单选 | 关闭后你的所有 API 调用都会返回错误，相当于临时停用密钥，不需要重置 |
| API安全签名开关 | 开启 / 关闭 单选 | 开启后**只接受 pid+sign 签名调用**，简单调用地址（`?appkey=xxx`）会被拒绝。这是防止密钥被直接盗用最有效的一项 |
| API IP白名单开关 | 勾选框 | 勾选后才会出现「API IP白名单列表」输入框，对简单调用与签名调用同时生效 |

**IP 白名单填写规则**：在「API IP白名单列表」文本框里**每行一个 IP**（也支持用英文逗号分隔），例如：

```
192.168.1.1
10.0.0.1
```

只支持**完整 IP 精确匹配**，不支持网段（CIDR）、不支持通配符、不支持域名。要填的是**你服务器的公网出口 IP**，不是内网 IP，也不是你办公电脑的 IP（除非调用确实从那里发起）。开关打开但列表留空时不做任何限制。

> 组合建议：服务端固定 IP 的场景，开启「API安全签名开关」+「API IP白名单开关」并填入服务器出口 IP；调用来源 IP 不固定（如本地调试、Serverless）时，至少开启安全签名开关，把 AppKey 与 sign 都留在服务端。

> 「MCP配置」选项卡里的 MCP Token 与 MCP IP白名单是另一套独立凭据，只用于 MCP 方式接入，与本页的 API 密钥互不影响，需要时单独生成和设置。

常见问题

Q：PID 和 AppKey 分别是什么，在哪里查看？

A：PID 就是你的用户 ID，是一个整数，与账号信息页显示的用户ID相同，注册后固定不变。AppKey 是平台生成的 32 位字符密钥，可以随时重置。两者都在用户中心左侧菜单「用户信息」下的「API密钥设置」页明文显示，地址 /member/apikey，无需额外验证即可查看，点右侧的复制按钮即可复制。还没有密钥时，先点页面上的生成 AppKey 按钮。

Q：安全调用和简单调用有什么区别，sign 怎么算？

A：两种方式的接口地址相同，区别只在凭据怎么传。简单调用直接在地址后拼 ?appkey=你的密钥；安全调用不传 AppKey，改为传 pid 与 sign。sign 的算法是把字符串 pid=、你的 PID、你的 AppKey 三者直接顺序拼接后做一次 MD5，取 32 位十六进制小写，中间不加任何分隔符。业务参数不参与签名，也没有时间戳，因此同一个账号的 sign 是固定值，算一次可以长期复用。

Q：怎样降低密钥泄露的风险？IP 白名单要填什么 IP？

A：最有效的做法是开启「API安全签名开关」，开启后平台只接受 pid 加 sign 的签名调用，直接拼 appkey 的地址会被拒绝；如果调用来自固定服务器，再勾选「API IP白名单开关」并填入服务器的公网出口 IP。白名单每行一个 IP，也支持英文逗号分隔，只做完整 IP 精确匹配，不支持网段、通配符和域名，不要填内网 IP。密钥本身只应保存在服务端，不要写进前端代码或公开仓库。

新手教程用户中心账号安全 API密钥安全签名

上一篇：修改密码与忘记密码找回教程下一篇：点数充值与扣费规则教程

网友评论（0）

暂无评论，快来抢沙发～