凭证使用说明

应用凭证由控制台创建和管理；当前 OpenAPI 不提供“查询或重置 AppSecret”的对外接口。调用方拿到 appId、appKey、appSecret 后，通过换取 accessToken 使用开放接口。

权限模型

• model:read：读取模型列表、详情、转换状态、元数据。
• model:upload：上传分片、创建/删除模型、发起转换。
• viewer:token：签发模型查看令牌。

服务同时校验应用状态、scope 和可选 IP 白名单。应用被禁用返回 APP_403_002；权限不足或 IP 不匹配返回 APP_403_001。

浏览器 SDK 短期票据

服务端可调用 POST /openapi/oauth/sdk-token，以应用三元组、engineType 和可选 origin 换取短期 sdkToken。不要将长期 appSecret 发送到浏览器。

所有错误响应使用统一信封：

{
  "requestId": "req_xxx",
  "error": {
    "code": "AUTH_401_001",
    "message": "Access token is missing or invalid.",
    "messageKey": "errors.auth.invalidToken"
  }
}