> ## Documentation Index
> Fetch the complete documentation index at: https://docs.xuwuai.com/llms.txt
> Use this file to discover all available pages before exploring further.

# API 认证

> 区分模型调用 Token、个人资料访问令牌与查询授权 Token，并安全传递认证信息

# API 认证

Xuwu 常见令牌分为三类，不能混用：

| 令牌类型       | 主要用途              | 常见路径                                       |
| ---------- | ----------------- | ------------------------------------------ |
| 模型调用 Token | 调用模型与供应商兼容接口      | `/v1/*`、`/minimaxi/*`、`/kling/*`、`/vidu/*` |
| 个人资料访问令牌   | 查询账号资料、余额等控制台数据   | `/api/user/*`                              |
| 查询授权 Token | 只读查询余额、日志、任务和运营数据 | `/api/query/v1/*`                          |

## 模型调用 Token

模型调用 Token 用于实际模型请求。调用时通过 `Authorization` header 传递：

```bash theme={null}
curl "https://xuwuai.com/v1/models" \
  -H "Authorization: Bearer $TOKEN"
```

<Warning>
  模型调用 Token 应只保存在服务端或可信运行环境，不要放进浏览器前端、移动端包体或公开仓库。
</Warning>

## 个人资料访问令牌

个人资料访问令牌用于查询账号相关数据，例如余额：

```bash theme={null}
curl "https://xuwuai.com/api/user/balance" \
  -H "Authorization: Bearer $PROFILE_TOKEN"
```

更多余额字段说明见 [账号余额查询 API](/guide/balance-api)。

## 查询授权 Token

查询授权 Token 用于把只读数据查询能力开放给外部系统，密钥以 `qak-` 开头。可读范围分为**当前用户**、**指定用户**、**全部用户**：

```bash theme={null}
curl "https://xuwuai.com/api/query/v1/logs?time_preset=24h" \
  -H "Authorization: Bearer $QUERY_TOKEN"
```

更多权限、请求字段和响应字段见 [查询授权](/guide/query-authorization)。

## 建议做法

* 为不同业务系统创建不同 Token，便于权限控制和故障隔离。
* 在服务端环境变量或密钥管理系统中保存 Token。
* 生产环境记录 [请求 ID](/guide/request-id)，便于排查问题。
* Token 泄露后应立即在控制台禁用或重置。