认证与鉴权
调用接口需要密钥。请求头和查询参数可以只带一个；两个都带时必须是同一串。
创建密钥
登录后打开 API Key 管理。创建成功时页面给出完整密钥，之后只显示前后几位。丢失后新建一把，旧的可以停用。
请求头
推荐写法是 Authorization: Bearer YOUR_API_KEY。把 YOUR_API_KEY 换成刚创建的那一串。
查询参数
也可以写 ?key=YOUR_API_KEY。适合暂时不能改请求头的调用方。链接会带上密钥，公开页面不要这样写。
浏览器里的公开值
没有自己的后端、又不想把密钥放进链接时，在控制台签发公开值。key 填以 ybdo_pub_ 开头的那一串，并带上与绑定说明一致的 bind。公开值不能还原成密钥。
来源白名单
密钥可以限制来源。留空表示不限制。不在白名单里的调用返回 403。
