创建
设置 → API key → 新建。填写名称、勾选可访问的应用、设置有效期。密钥只显示一次。
身份认证
一把 key，三层权限。key 能做的事，恰好等于 key 所有者在界面上能做的事——不多不少。
管理 API key
轮换
一键轮换、零停机：旧密钥保留 24 小时宽限期，足够你完成部署切换。
吊销
同一页面即时吊销。进行中的请求会完成，新请求立即返回 401。
Bearer 认证
每次请求都带 Authorization: Bearer <key>。网关把 key 绑定到它的用户（user_id + organization_id），并把权限上下文注入请求——调用时无需再传身份参数。
curl https://api.bodegito.com/v1/oms/orders?page_size=5 \
-H "Authorization: Bearer $BODEGITO_API_KEY"权限说明
key 继承所有者的三层权限：应用访问（6 个应用中的哪几个）、功能权限（各模块读写）、数据范围（仓库、merchant）。返回 403 说明 key（和它的所有者一样）无权操作。
IP 白名单（预留）
可把 key 绑定到固定出口 IP，进一步加固。接口已预留，界面稍后上线。