鉴权

所有 /v1/* 请求都需要在 Authorization 头里带 Bearer key。

请求头格式

Authorization: Bearer aiimg-sk-live-xxxxxxxxxxxxxxxxxxxx

Key 的格式

• 前缀固定 aiimg-sk-live-
• 后面 24 位随机 base32（高熵）
• 服务器只存哈希，明文创建后只显示一次

权限范围(scopes)

每个 key 携带一组 scope（CSV）。MVP 只用一个：

默认 key 只授予 images:write（已包含读权限的需求场景）。

失效场景(401)

• 没带 Authorization 头
• key 拼错 / 不属于本平台前缀
• key 已被 撤销
• key 设置了过期时间且已过期

密钥管理建议

• 不要 把 key 写进前端代码 / 公开 git 仓库 / 客户端 App
• 每个使用环境（生产 / 测试 / CI）建一个独立 key，方便单独撤销
• 定期轮换：撤销旧 key 前先在新 key 上跑通,再下架旧的