API 密钥与 Bearer

大多数 API 通过请求头识别你的身份，而不是通过登录表单。常见的格式是：

curl -s -H 'Authorization: Bearer YOUR_TOKEN' http://127.0.0.1:9132/me

Bearer 的含义正如字面所示：谁持有这个令牌，谁就会被视为你。不会再进行其他检查，也没有密码或第二重验证。令牌一旦泄露，你的账户也就随之暴露，直到你撤销该令牌。

这会影响你处理它的方式。URL 中的令牌会出现在浏览器历史记录和服务器日志中，所以应该把它放在标头中。令牌出现在 shell 命令中时，会被记录在 shell 历史记录里，因此真正的脚本会从环境变量中读取令牌，而不是将它硬编码进去。

有些 API 会使用名称不同的标头，例如 X-API-Key。其机制相同：在标头中放入一个密钥字符串，并随每个请求发送。