API 使用规范

一、申请与审核

API 接入实行申请审核制。您应如实填写客户端名称、用途说明及预期回调地址等信息。

• 每位用户可提交多个接入申请，但应保证用途真实、可核实。
• 审核期间请耐心等待，勿重复提交相同用途的申请。
• 审核通过后，系统将发放 API Key；Secret 仅在重置或首次展示时可见，请立即保存。
• 审核未通过时，可根据拒绝原因修正后重新申请。
• 若长期未使用或用途变更，本站有权要求您补充说明或重新审核。

二、适用范围与用途

API 仅供已通过审核的账户，在本站规则允许范围内使用。

• 查询商品目录、分类、价格与库存等公开业务数据。
• 创建订单、查询订单状态、获取交付结果。
• 接收订单完成等事件回调（创建订单时在请求中传入 callback_url）。
• 不得将 API 用于爬虫采集、恶意压测、批量注册、欺诈交易或任何违法活动。
• 不得将 API 能力转售、转租或以「接口包月」等形式提供给第三方，除非与本站另有书面约定。

三、凭证管理

API Key 与 Secret 是访问接口的身份凭证，安全性由您全权负责。

• Secret 等同于密码，请勿通过聊天工具、邮件、截图或公开仓库传播。
• 建议在服务器端保存 Secret，由后端发起签名请求，不要写在前端网页或移动客户端中。
• 若怀疑泄露，请立即在「API 凭证」页重置 Secret；旧 Secret 在宽限期后失效。
• 每个客户端应独立使用一组 Key，便于权限隔离与问题追溯。
• 禁止与他人共用同一组 Key 用于多个无关站点。

四、安全设置

您可在用户中心配置以下安全项，强烈建议生产环境全部启用。

• IP 白名单：仅允许指定 IP 调用 API，留空表示不限制（不建议生产环境留空）。
• 余额预警：余额不足可能导致下单失败，请设置合理阈值并及时充值。
• 若您的服务器 IP 变更，请提前更新白名单，避免业务中断。

五、接口调用规范

调用 API 时须遵循文档中的签名算法、请求头与参数约定。

• 所有请求须携带有效签名；篡改参数、重放旧请求可能导致鉴权失败。
• 请合理控制并发与频率，避免短时间大量重复请求同一接口。
• 遇到 429 或限流响应时，应退避重试，不得持续强行请求。
• 请正确处理错误码与异常响应，不要向您的用户直接展示原始技术错误。
• 测试请使用小额商品或测试环境，避免误操作造成大额扣款。

六、订单与余额

通过 API 下单将占用您账户钱包余额，规则与前台下单一致。

• 下单前请确认余额充足；余额不足时订单将无法创建。
• 自研 API 在开启双钱包时可指定结算币种（CNY/USDT）；预置平台对接仅支持 CNY。
• 订单创建成功后，请通过查单接口或回调确认最终状态，不要仅依赖单次请求响应。
• 对已完成订单的售后问题，请引导用户或您本人通过本站客服渠道处理。
• 因您侧程序逻辑错误导致的重复下单、错误数量等，需自行承担相应费用。

七、回调通知

订单完成等事件可推送至您在创建订单请求中传入的 callback_url。

• 回调地址必须支持 HTTPS，且能正确响应 HTTP 200。
• 您的服务应幂等处理同一订单的重复回调，避免重复发货或重复记账。
• 若回调失败，系统可能按策略重试；请保证接口稳定可用。
• 回调验签方式请参阅对接文档，勿跳过签名校验。
• 因回调地址错误、证书过期、防火墙拦截等导致未收到通知，需由您自行排查。

八、数据与保密

通过 API 获取的商品信息、订单数据等，仅限用于您已申报的对接用途。

• 不得批量抓取商品数据用于搭建竞品站点或对外转售数据。
• 不得泄露从接口获得的用户订单信息、卡密内容等敏感数据。
• 日志中如需记录请求信息，应对 Secret、完整卡密等字段脱敏。

九、禁止行为

以下行为一经发现，本站有权立即限制或终止 API 权限：

• 攻击、扫描、注入测试本站系统或接口。
• 伪造签名、盗用他人 Key、绕过 IP 白名单等鉴权机制。
• 利用 API 漏洞牟利或传播漏洞细节（请通过客服负责任披露）。
• 利用接口进行洗钱、诈骗、刷单、恶意退款等违规交易。
• 将本站商品或接口用于法律法规禁止的领域。

十、违规处理

根据违规情节，本站可采取一项或多项措施：

• 接口限流、临时冻结或永久关闭 API Key。
• 拒绝新的接入申请，或要求重新提交用途说明。
• 限制账户充值、下单等相关功能。
• 保留追究法律责任及索赔的权利（若造成本站或第三方损失）。

十一、规范更新

本站可能根据业务或法律要求更新本规范，更新后将公布新版本日期。若您继续使用 API，即视为接受更新后的规范。重大变更时，我们可能通过站内通知等方式提醒您查阅。