加密交易所 API 认证披露雷达：Key Type、Permission 与 Session Controls

决策矩阵

来源地图

• Binance Developer Docs：Binance Developer Documentation introduction（binance-introduction）
• Coinbase Developer Documentation：Create Portfolio API authorization（coinbase-portfolio-auth）
• Kraken Support：Kraken WebSocket API - Frequently Asked Questions（kraken-ws-faq）
• Bybit API Documentation：Integration Guidance（bybit-v5-guide）

控制说明

1. Key type disclosure

这一项要求读者把公开来源翻译成操作规则。这里的含义是：the source should say whether HMAC, RSA, Ed25519, JWT or token exchange is used。可执行动作是：record key type and signing library before writing production code。仍然未知的是：whether a venue changes the preferred key type without breaking old integrations。因此本文不会把未知部分包装成收益承诺、牌照承诺、审批保证、安全保证、恢复保证、平台排名或价格暗示。

2. Permission labels

这里的含义是：API portals often split view, trade, transfer and portfolio access。可执行动作是：create one key per role and start with read-only permissions。仍然未知的是：whether labels map cleanly to every product surface。

操作测试也必须很窄。这就是本文坚持以清单形式呈现的原因。

3. Session lifecycle

这里的含义是：private WebSocket channels can depend on authentication tokens or logged-on sessions。可执行动作是：test reconnect, duplicate subscription and token expiry handling。仍然未知的是：how session state behaves during exchange incidents。

操作测试也必须很窄。这就是本文坚持以清单形式呈现的原因。

4. Secret handling

这里的含义是：debug evidence can accidentally leak API material。可执行动作是：log only non-secret request ids, status labels, endpoint names and timestamps。仍然未知的是：whether support later asks for evidence that must be redacted。

操作测试也必须很窄。这就是本文坚持以清单形式呈现的原因。

5. Radar output

这里的含义是：a useful radar compares disclosure completeness rather than claiming safety。可执行动作是：score each venue by source availability, testability and rollback clarity。仍然未知的是：whether undocumented behavior exists behind the public pages。

操作测试也必须很窄。这就是本文坚持以清单形式呈现的原因。

仍需明确的未知项

• whether a venue changes the preferred key type without breaking old integrations
• whether labels map cleanly to every product surface
• how session state behaves during exchange incidents
• whether support later asks for evidence that must be redacted
• whether undocumented behavior exists behind the public pages

实用结论

本轮雷达结论是：API authentication disclosure 分散在 key type、signing method、permission scope、WebSocket session state 与平台支持页面之间。Binance 开发文档披露 HMAC、RSA、Ed25519 和部分 session workflows；Coinbase 描述 permissioned endpoints 的 JWT bearer-token authorization 与 WebSocket feed 行为；Kraken 用 authentication token 区分 public/private WebSocket feeds；Bybit 发布 V5 request integration guidance。有用输出不是平台排名，而是一份披露清单：key type、permission labels、expiry、IP binding、session lifecycle、reconnect rule、read-only fallback 和不含秘密的 incident evidence。 本文停在证据边界内，帮助读者决定下一步核验什么，而不是把公开文档改写成私人账户、钱包、API key、池子路径、稳定币余额、代币化资产或政策框架在任何未来条件下都能成功的承诺。