准备做行情接入、账户数据同步或程序化调用时，第一步通常不是先写策略，而是先把开放接口的身份凭证配好：进入网页端的 API 管理页，创建 API Key，再按实际场景勾选权限。
WEEX当前公开文档使用 V3 接口，同时提供 REST 和 WebSocket。接口本身可覆盖行情获取、账户查询等能力；交易类权限与只读权限是分开的，默认并不等同于「创建即拥有全部操作」。
一、创建前先分清：你要的是查询，还是写入
只创建 Key，并不需要先搭完整自动化系统。
登录网页端后，路径一般是：「账户」→「API管理」→创建 API。官网 API 页通常也有入口。若目标只是拉行情或做账户监控，创建时应先保持默认只读；只有确认程序确实需要写入类操作时，再单独打开对应权限。
容易忽略的一点：Key 不是创建出来就默认拥有全部权限。按 V3 文档，新 Key 默认多为只读。现货等写入能力需要额外勾选，且权限之间独立配置。
二、创建流程可以拆成四步
- 登录网页端，进入「账户」→「API管理」。
- 按页面提示创建新 Key，并完成安全验证。
- 按用途授权，不要图省事全开。
• 只读：行情、余额、数据同步、查询类接口。
• 写入类：仅在程序明确需要下单或改单时再开，并对照对应文档逐项勾选。 - 设置 Passphrase，并离线保存三件套：APIKey、SecretKey、Passphrase。
可以这样理解职责：APIKey 是请求里的身份标识，SecretKey 用于签名，Passphrase 是创建时由用户自设的口令。Passphrase 遗忘后通常无法找回，只能作废重建。官方文档也建议妥善保存、不要向他人透露。
另外，单个账户可创建的 Key 往往有数量上限（当前公开说明为最多 10 组）。多个程序、多个监控任务，更适合拆成不同 Key，而不是一套凭证到处复用。
三、权限怎么选：先只读，再按最小范围加权限
第一次对接时，最容易出错的是权限过大。
• 只读：适合行情分析、账户监控、数据同步。
• 写入类权限：只给真正要执行写入操作的程序。
例如：先把行情、K 线、订单簿或账户查询跑通，确认鉴权、参数和返回都正常，再考虑是否打开写入权限。好处是每个 Key 的能力边界可单独收紧，而不是所有程序共享完整操作权。
还需明确：API Key 不是提现通道。按常见权限设计，只读只能查，写入类权限用于对应交易操作，而不是把资产直接转出。配置时真正该盯的是「这个程序最少需要什么」。
四、固定服务器上，IP 白名单建议默认打开
程序若长期跑在云服务器或自有机器、出口 IP 稳定，应在创建时绑定 IP 白名单。公开文档通常也建议绑定 IP：未绑定的 Key，被盗后可从任意地址发起请求。
临时联调可以后补；准备长期跑的自动化程序，IP 限制属于基础安全项，不是可选项。
APIKey、SecretKey、Passphrase 应放在受控环境：不要写进公开代码仓库，不要发到聊天群，不要打进日志。怀疑泄露，立刻删除该 Key 并重建。
五、Key 建好之后，先验证连接，再谈策略
凭证就绪，只说明身份层通了，不等于策略可以上线。
下一步是把凭证配进自己的程序，按官方文档做调用。第一次建议从市场数据开始：实时行情、K 线、订单簿，确认连接、签名和返回结构，再进入账户查询。REST 适合请求-响应，WebSocket 更适合推送类数据（如实时成交）。
已有程序化基础的，可直接对照 V3 文档里的接口说明、参数和示例做联调。若尚未准备连接真实资金环境，应先在测试或模拟环境把「创建 Key → 配权限 → 调通查询」跑顺。
WEEX API在这里只是账户与程序之间的连接层。接口能否稳定调用，取决于签名是否正确、权限是否最小、密钥和 IP 是否隔离；值不值得把程序接到真实环境，仍取决于数据质量、逻辑、回测和风险控制，而不是 Key 本身。
