1. 两类身份
控制台的应用管理、订单付款、审核等接口使用网页登录Cookie；应用Key用于/api/developer/whoami、faces、license-uses与contents。不是所有API都接受Bearer，Cookie也不能代替应用Key消费许可。
2. 请求安全
应用端将密钥置于Authorization: Bearer请求头；POST使用JSON。Cookie写请求需要配置的同源Origin；服务端Bearer调用无需伪造Origin。不能关闭来源检查或通过升级套餐获得后台权限。
3. 错误与授权
HTTP401的code可为UNAUTHENTICATED或登录时的INVALID_CREDENTIALS；HTTP403表示角色、来源或邮箱验证问题。错误正文包含字符串code、message、requestId及可选details。许可范围与训练权限独立判断；Use受理不是生成成功。
这篇文章对你有帮助吗？