WEEX API 密钥设置：权限、IP 绑定与密钥数量限制

创建 WEEX API 密钥大约需要两分钟，而你在该页面上做出的选择，会决定日后被盗密钥能够对账户执行什么操作。每个新密钥默认都是只读。只有当程序需要下单时，你才需要添加现货或期货/合约交易范围；你可以将密钥绑定到特定 IP 地址，并且每个账户最多持有 10 组 API 密钥。API 完全没有提现权限。本指南将介绍设置流程，解释三个凭据分别有什么作用，说明哪种权限组合适合哪类用途，并介绍一些容易出错的操作细节，例如无法恢复的密码短语，以及新密钥开始生效前的短暂延迟。

WEEX API 密钥实际上由什么组成

创建密钥时，WEEX 会发放三个独立字符串，每个字符串都有不同用途。混淆它们，是首次请求因身份验证错误而失败的最常见原因。

• APIKey：公开标识符。每次请求都要将它放入 ACCESS-KEY 请求头。即使有人看到它，单独凭此也无法获得有用信息。
• SecretKey：私有签名密钥。它不会随请求传输。你的代码会使用它，根据时间戳、HTTP 方法、请求路径和请求体计算 HMAC SHA256 签名，然后将结果进行 Base64 编码并放入 ACCESS-SIGN 请求头。
• Passphrase：创建密钥时由你选择的字符串。访问私有端点时，它会放入 ACCESS-PASSPHRASE 请求头。WEEX 在其API 文档中明确说明，遗失的密码短语无法恢复；唯一解决办法是创建新密钥。

实际需要注意的是：SecretKey 和 Passphrase 只会显示一次。关闭标签页前，请将二者复制到密钥管理器中。如果丢失其中任何一个，请删除密钥组并重新开始，不要尝试猜测。

如何逐步创建 WEEX API 密钥

现货和期货用途的流程相同，区别在于勾选的交易范围不同。

1. 在网页端登录，并从账户菜单中打开 API 管理（页面路径为 /account/newapi）。系统会要求完成常规 2FA。
2. 根据将使用密钥的程序为密钥命名，例如 grid-bot-vps-a 或 portfolio-tracker。当你管理多个密钥时，名称非常重要。
3. 设置密码短语，并立即保存。
4. 除非该程序确实需要下单或撤单，否则保持只读权限。如果需要，请仅启用一个交易范围：现货市场选择 Spot，永续合约选择Futures/Contract。不要为了“以防万一”而同时启用两者。
5. 将密钥绑定到调用 API 的机器的一个或多个 IP 地址。WEEX 文档对此明确指出：不绑定 IP 的密钥“会带来安全风险”。
6. 完成 2FA 确认，并复制 APIKey 和 SecretKey。
7. 测试前先等待。WEEX 在 Learn 栏目的API 指南中指出，新创建或修改的密钥可能需要约 15 分钟才能在全球范围内传播，因此立即出现 401 不一定是代码错误。

首次测试可以先进行未经身份验证的公开调用，然后进行签名的只读调用，例如查询账户余额。只有两者都成功后，才应尝试交易端点。

不同用途应启用哪些 WEEX API 权限

权限模型经过刻意简化，便于理解。除默认的只读权限外，只有两个相互独立的范围，没有其他权限。

只读权限适用于的程序比许多人想象的更多。投资组合追踪器、税务报告导出工具、Telegram 成交提醒、未平仓头寸看板、资金费率监控器，都不需要下单。请保持只读。如果密钥泄露，攻击者可以看到你的余额和历史记录，这很令人不安，但无法转移任何资产。

现货交易范围适用于在现货交易对上买卖的程序，例如 DCA 脚本、现货网格机器人和再平衡程序。它不会授予期货访问权限。

Futures/Contract 交易范围适用于永续期货自动化，例如趋势跟随策略、资金费率对冲，以及用于平仓的爆仓保护脚本。它不会授予现货访问权限。由于杠杆会放大程序失控时造成的损失，这一范围最需要谨慎保护，也最应该绑定 IP。

不可用的权限是提现。与一些要求你记得取消勾选提现范围的交易所不同，WEEX 的现货和期货 API 文档都只列出 Read 和 Trade 权限类型。将资金转出交易所仍需通过网页或应用流程，并使用独立的 2FA 和地址控制。这一边界是理解WEEX API 密钥安全最重要的一点：泄露的交易密钥不能提现。它能够做什么，以及攻击者为何仍会利用它，将在本系列下一篇文章中介绍。

10 组密钥上限及其分配方式

WEEX 允许每个账户最多拥有 10 组 API 密钥。只有当你正确管理密钥，即每个程序、每台机器使用一个密钥时，这个数量才显得充足。

活跃用户可以这样合理分配：为追踪器使用一个只读密钥，为税务导出使用一个，为家用服务器上的 DCA 机器人使用一个现货密钥，为 VPS 上的策略使用一个期货/合约密钥，在同一 VPS 上的第二个策略再使用一个 Futures/Contract 密钥，并预留两到三个密钥用于轮换，以便在撤销旧密钥前创建替代密钥。这样已经占用七到八个名额。

两个习惯可以帮助你不超过上限。第一，程序停用后立即删除密钥；一个带有交易权限、又未绑定 IP 的遗忘密钥，是典型的隐性风险。第二，不要为了节省名额而让两个程序共用一个密钥。如果其中一个出错或泄露，你必须同时撤销两个程序的密钥，也无法从订单历史判断某笔交易究竟由哪个程序发起。

签名、时间戳以及看似权限问题的错误

新集成者归咎于权限的许多失败，实际上是签名或时钟问题。了解规则可以节省数小时排查时间。

签名消息由毫秒时间戳、大写 HTTP 方法、请求路径、查询字符串（如果存在，则包含开头的 ?）以及 JSON 请求体（如果存在）依次拼接而成。该字符串使用 SecretKey 进行 HMAC SHA256 签名，然后进行 Base64 编码。WEEX 现货文档以 1591089508404GET/api/v3/market/depth?symbol=BTCUSDT&limit=20作为深度调用示例。

系统会检查时间戳。若 ACCESS-TIMESTAMP 与服务器时钟相差超过 30 秒，WEEX 将拒绝请求。时间漂移的 VPS 会产生看似随机的间歇性身份验证失败。请运行 NTP；如果仍然被拒绝，则从公开端点获取服务器时间，并调整请求时间。

速率限制与权限相互独立，但同样会造成令人困惑的症状。大多数 REST 端点按 IP 使用权重系统限流，下单端点则在 ORDERS 计数桶下按账户限流；超过任一限制都会返回 HTTP 429，随后触发 10 秒封禁。不要猜测额度，应读取响应头中的 X-USED-WEIGHT 和 X-ORDER-COUNT。程序在收到 429 后继续猛烈请求，只会延长自己的封禁时间。

交易者通常会忽略的设置页面细节

有三件事比其他问题更容易被忽略。

密码短语不是可以重置的密码。人们常把它当作方便填写的字段，随便设置一个，然后在重建服务器时丢失。WEEX 要求密码短语只能包含字母和数字，因此应选择较长的随机字符串，并与 SecretKey 一起保存。

由于家庭 IP 会变化，人们会跳过 IP 绑定。正确做法不是让密钥保持开放，而是将程序运行在具有固定地址的 VPS 或云实例上，并绑定该地址。如果必须使用动态 IP 运行，请保持密钥只读并手动下单。

有些密钥只用于读取，却被启用了交易范围。这通常是因为其他交易所的教程告诉读者勾选所有选项。在 WEEX 中，默认只读是有原因的：从只读开始，只有当请求因缺少权限而失败时才添加范围。

正确设置 WEEX API 密钥：简要总结

配置良好的 WEEX API 密钥应在程序确实需要交易前保持只读；需要交易时只携带一个交易范围；绑定到使用它的机器的固定 IP；将密码短语与 SecretKey 一起保存；并且一个密钥名额只对应一个程序。第一天做好这五点，你在其他地方看到的大多数 API 安全建议都不再必要。先创建一个只读密钥，确认签名余额调用成功，然后再决定是否需要下单。

常见问题

1. WEEX API 密钥可以提现吗？

不可以。截至 2026 年 9 月，WEEX 现货和期货 API 文档只列出只读和交易（现货或 Futures/Contract）权限。提现需要通过网页或应用流程，并完成 2FA。

2. 我可以在 WEEX 创建多少个 API 密钥？

每个账户最多 10 组 API 密钥。每组都有自己的权限、密码短语和可选的 IP 绑定。

3. 一个 WEEX API 密钥可以同时交易现货和期货吗？

Spot 和 Futures/Contract 是独立的交易范围。只启用程序所需的一个；现货机器人不应持有期货权限。

4. 为什么我的新密钥返回身份验证错误？

常见原因包括创建后最长约 15 分钟的传播延迟、时间戳与服务器时间相差超过 30 秒、密码短语错误，或请求来自未列入密钥绑定列表的 IP。

5. 如果我丢失密码短语，会发生什么？

密码短语无法恢复。请删除密钥组并创建新密钥，然后更新所有使用旧密钥的程序。

6. IP 绑定是强制的吗？

它不是强制选项，但 WEEX 官方文档强烈建议使用。对于任何带交易范围的密钥，都应将其视为必选项。

风险提示

加密货币现货和期货交易具有较高亏损风险，包括损失全部余额的可能；在波动市场中，杠杆期货头寸可能迅速被清算。API 访问会在市场风险之外增加操作风险：配置错误的密钥、程序漏洞、服务器被入侵或 SecretKey 泄露，都可能发起无法撤销的非预期订单。带交易范围的密钥应绑定 IP 并受到监控，任何程序接触真实资金前都应先在模拟环境中测试。本文任何内容均不构成投资建议；文中所述平台功能截至 2026 年 9 月准确，但未来可能发生变化。