鉴权

使用 GloopAPI Key 验证 API 请求。将密钥保存在服务器或安全的本地环境变量中；不要写入网页、仓库、分享链接或日志。

请求身份

请求使用 Authorization: Bearer $GLOOP_API_KEY 验证身份。请通过请求头传递密钥，避免密钥出现在 URL 中。模型列表统一返回 OpenAI 格式。

Key、账户与模型/工具授权共同决定调用权限。同账户的另一把 Key 不等于原任务身份：历史任务、工具运行与文件通常要求同账户同 Key。模型权限不会自动授予工具权限，工具执行取账户组与 Key 工具授权的交集。

普通与持久读取

普通文本、同步图片、语音、模型目录及音频克隆使用普通鉴权。额度耗尽时，音频克隆的状态或结果查询也可能被拒绝，不保证还能取回结果。

持久图像、视频、工具运行和文件路由使用相应的持久鉴权，允许额度耗尽但仍有效的 Key 查询历史。过期、撤销、IP 限制或账户封禁仍会拒绝。新生成还要通过预算、权限、配置与能力检查，能读历史不代表能创建任务。

图像历史仍会核验当前模型权限；视频历史与请求恢复的检查随具体路径而异，不能据此承诺历史读取已统一执行完整生成策略。每个端点的鉴权说明是判断依据。

文件与签名链接

API 文件元数据与下载地址使用原 Key 获取。短时签名下载链接本身具有读取权限，不要公开分享，也不要把 API Key 转发给对象存储。图像资产内容支持 Bearer 或服务端签名；出现签名参数时只走签名校验，失败不会回退 Bearer。

401 时检查密钥与有效期，403 时检查账户、IP 和授权；先修正原因再操作。未知提交必须按恢复流程核对，不能因换 Key 而重复生成。