速看！Coinbase API 权限设置：别让你的币飞了！

Coinbase API 权限设置方法

Coinbase API 允许开发者访问用户的 Coinbase 账户数据并执行交易，但出于安全考虑，正确配置 API 权限至关重要。不当的权限设置可能导致账户资金被盗或敏感信息泄露。本文将详细介绍 Coinbase API 权限设置的步骤和最佳实践，帮助您安全地使用 Coinbase API。

一、创建 API 密钥

您需要在 Coinbase 账户中创建 API 密钥，以便程序化访问 Coinbase 的各项功能。请务必注意，创建 API 密钥必须启用两步验证（2FA），这是保障您账户安全的关键措施，强烈建议您在使用 API 密钥之前启用 2FA。

1. 登录 Coinbase 账户： 使用您的注册邮箱和密码登录您的 Coinbase 账户。确保您访问的是官方 Coinbase 网站，以防钓鱼攻击。
2. 导航至 API 设置页面： 成功登录后，点击页面右上角的个人资料头像，通常会弹出一个下拉菜单。在下拉菜单中选择“设置”选项。进入设置页面后，寻找与 API 访问相关的选项，例如“API 访问”、“API 密钥”或类似的描述。如果找不到，请检查“安全”、“隐私”或者“开发者”等相关标签页。不同版本的 Coinbase 界面可能会略有差异，请根据实际情况查找。
3. 创建新的 API 密钥： 在 API 访问页面，您会看到一个按钮，通常标记为“创建新的 API 密钥”、“生成 API 密钥”或类似的文字。点击此按钮开始创建过程。
4. 命名 API 密钥： 为您的 API 密钥指定一个清晰且具有描述性的名称，便于您在管理多个 API 密钥时进行区分和识别。选择一个与应用程序用途相关的名称，例如“交易机器人 API”、“数据分析 API”、“投资组合管理 API”等。清晰的命名有助于您日后追踪和管理 API 密钥的使用情况。
5. 配置 API 权限（关键步骤）： 这是配置 API 密钥最为关键的步骤。Coinbase 提供了细粒度的权限控制，您可以根据应用程序的具体需求，授予 API 密钥相应的权限。务必谨慎选择权限，避免授予不必要的权限，以降低潜在的安全风险。常见的权限包括：
   • trade:read ：允许读取交易历史记录。
   • trade:create ：允许创建新的交易订单。
   • wallet:accounts:read ：允许读取钱包账户信息，例如余额和交易记录。
   • wallet:accounts:create ：允许创建新的钱包账户。
   • wallet:addresses:read ：允许读取钱包地址。
   • wallet:addresses:create ：允许创建新的钱包地址。
   • wallet:payment-methods:read ：允许读取支付方式信息。
   • wallet:buys:create ：允许创建购买订单。
   • wallet:sells:create ：允许创建出售订单。
   • wallet:deposits:create ：允许创建充值请求。
   • wallet:withdrawals:create ：允许创建提现请求。
   仔细阅读每个权限的描述，并仅选择您的应用程序实际需要的权限。例如，如果您的应用程序只需要读取账户余额，则只需选择 wallet:accounts:read 权限，而不需要选择 wallet:accounts:create 权限。
6. 生成 API 密钥： 完成权限配置后，点击“创建”或“生成”按钮。Coinbase 将生成您的 API 密钥（API Key）和密钥密文（API Secret）。 请务必将 API Secret 安全地存储在安全的地方，例如使用密码管理器。API Secret 只会在创建时显示一次，之后将无法再次查看。 如果您丢失了 API Secret，您将必须撤销当前的 API 密钥并重新生成一个新的 API 密钥。为了安全起见，强烈建议定期轮换 API 密钥。

二、理解 Coinbase API 权限

Coinbase API 提供了细粒度的权限控制，允许开发者根据应用程序的特定需求申请和使用不同的权限组合。这种精细化的权限管理旨在保护用户数据安全，确保应用程序只能访问其功能所需的最低限度信息。选择合适的权限对于确保应用程序的安全性和可用性至关重要。

• accounts:read: 允许应用程序访问您的 Coinbase 账户信息，包括账户余额、交易记录、账户ID以及账户的类型（例如：主账户、金库账户等）。应用程序需要此权限才能显示您的账户概览和历史交易数据。这是许多集成Coinbase的应用程序正常运行的基础权限之一。
• wallet:accounts:read: 授权应用程序读取与您的数字钱包相关的账户信息。这包括钱包地址、可用余额、以及任何特定于钱包的元数据。此权限与 accounts:read 相似，但更加专注于数字钱包层面，可以更精细地控制对钱包数据的访问。
• wallet:accounts:create: 允许应用程序代表您创建新的数字钱包账户。通常，只有当应用程序需要提供钱包管理功能或需要为用户生成新的加密货币地址时才应授予此权限。应用程序应明确告知用户创建新钱包的目的和流程。
• wallet:accounts:update: 赋予应用程序修改您的数字钱包账户信息的权限。这可能包括更改钱包的名称、标签或其他设置。出于安全考虑，应该谨慎授予此权限，因为恶意应用程序可能会滥用此权限来篡改您的钱包设置。在授予此权限前，请务必确认应用程序的可靠性。
• wallet:addresses:create: 允许应用程序为您创建新的钱包地址。这对于需要生成收款地址（例如，用于接收付款或存款）的应用程序非常有用。应用程序通常会使用此权限来简化收款流程。
• wallet:addresses:read: 允许应用程序读取您现有的钱包地址列表。应用程序可以通过读取这些地址来显示您的钱包信息或生成二维码以便收款。
• wallet:buys:create: 授权应用程序代表您发起加密货币购买交易。这是一个极其敏感的权限，因为它允许应用程序直接控制您的资金。务必仅在您完全信任的应用程序上授予此权限，并且要仔细审核应用程序的购买请求。使用双重验证可以进一步增强安全性。
• wallet:buys:read: 允许应用程序读取您的加密货币购买历史记录。这对于追踪您的投资和税务报告可能很有用。
• wallet:sells:create: 允许应用程序代表您发起加密货币出售交易。 与 wallet:buys:create 类似，这是一个高度敏感的权限，请务必仅在您完全信任的应用程序上授予此权限。应用程序应提供清晰的出售价格和费用信息。
• wallet:sells:read: 允许应用程序读取您的加密货币出售历史记录。这可以帮助您追踪您的交易活动和计算收益。
• wallet:deposits:create: 允许应用程序代表您创建存款请求。这通常用于将资金从外部来源转移到您的 Coinbase 账户。
• wallet:deposits:read: 允许应用程序读取有关您的存款的信息，例如存款状态、金额和时间。
• wallet:withdrawals:create: 允许应用程序代表您创建提款请求。 这是一个关键权限，因为它允许应用程序从您的 Coinbase 账户中提取资金。必须谨慎授予此权限，并确保您了解应用程序提款的用途。启用提款确认功能可以增加额外的安全层。
• wallet:withdrawals:read: 允许应用程序读取有关您的提款的信息，例如提款状态、金额和目标地址。
• wallet:payment-methods:read: 允许应用程序读取您已连接到 Coinbase 账户的支付方式信息，例如银行账户和信用卡。应用程序需要此权限才能方便地进行购买和出售操作。
• wallet:transactions:read: 允许应用程序读取您的 Coinbase 交易历史记录。这是一个通用的权限，可以访问所有类型的交易信息，包括购买、出售、存款、提款和转账。应用程序可以使用此权限来提供交易分析和报告。
• users:read: 允许应用程序读取您的 Coinbase 用户信息，例如姓名、电子邮件地址、国家/地区和个人资料信息。应用程序需要此权限才能个性化用户体验。
• notifications:read: 允许应用程序读取您的 Coinbase 通知，例如交易提醒和安全警报。应用程序可以使用此权限来及时通知您重要的账户活动。
• reports:read: 允许应用程序读取您生成的 Coinbase 报告，例如交易历史报告和税务报告。应用程序可以使用此权限来提供财务分析工具。

三、权限设置的最佳实践

以下是一些设置 Coinbase API 权限的最佳实践，旨在最大限度地保护您的账户安全，同时确保应用程序的正常运行：

1. 最小权限原则: 始终遵循最小权限原则，这意味着只授予应用程序完成其特定任务所需的最低权限集合。例如，如果您的应用程序仅仅需要读取账户余额信息，那么只需授予 wallet:accounts:read 权限即可。避免授予 wallet:buys:create 、 wallet:sells:create 或 wallet:transactions:send 等敏感权限，这些权限允许应用程序执行购买、出售或发送加密货币等操作，除非应用程序确实需要这些功能。过度授权会增加潜在的安全风险，一旦API密钥泄露，攻击者可能利用这些权限进行恶意操作。
2. 定期审查权限: 应该建立一个定期审查 API 密钥及其关联权限的流程。审查的频率取决于您的安全策略和应用程序的敏感性，建议至少每季度进行一次审查。在审查过程中，确认每个 API 密钥仍然是必要的，并且只拥有其当前所需的确切权限。如果应用程序不再使用某个 API 密钥，或者其所需权限发生了变化，应该立即删除该密钥或调整其权限。 这种定期审查有助于及时发现和纠正潜在的安全漏洞。
3. 使用单独的 API 密钥: 为每个独立的应用程序或服务创建和使用单独的 API 密钥。这样做可以实现权限隔离，意味着如果一个 API 密钥遭到泄露或被盗用，只有与该密钥关联的应用程序会受到影响，而不会波及其他应用程序。使用单独的密钥可以更精确地跟踪每个应用程序的 API 使用情况，从而更容易识别异常活动和进行故障排除。
4. 限制 IP 地址 (如果支持): 虽然 Coinbase 已经不再直接提供 IP 白名单功能，但仍然可以通过其他安全机制来限制 API 密钥的访问来源。例如，您可以在您的服务器防火墙上配置规则，只允许特定的 IP 地址或 IP 地址范围访问 Coinbase API。还可以考虑使用虚拟专用网络 (VPN) 或云安全组等技术来进一步加强 IP 地址的控制。这种方法可以有效防止未经授权的访问，即使 API 密钥被泄露，攻击者也无法从非授权的 IP 地址使用该密钥。
5. 监控 API 使用情况: 对 API 的使用情况进行持续监控，以便及时检测和响应任何异常或可疑活动。监控的关键指标包括 API 请求的频率、请求的类型、错误率以及响应时间。如果发现某个 API 密钥在短时间内发起了大量异常交易，或者请求来自异常地理位置，这可能表明该密钥已经遭到泄露或被盗用。可以使用 Coinbase 提供的 API 使用统计功能，或者集成第三方的监控工具来帮助您实现 API 使用情况的监控。
6. 安全存储 API 密钥: API 密钥和密钥密文 (API Secret) 是访问 Coinbase API 的凭证，务必采取严格的安全措施来保护它们。绝对不要将 API 密钥直接嵌入到应用程序的代码中，也不要将它们存储在公共代码仓库中。推荐的做法是使用环境变量、密钥管理系统 (如 HashiCorp Vault、AWS Secrets Manager 或 Azure Key Vault) 或加密存储等方式来安全地存储 API 密钥。还应该限制对存储 API 密钥的系统的访问权限，只有授权人员才能访问这些密钥。
7. 使用官方 SDK: 尽可能使用 Coinbase 官方提供的 SDK (软件开发工具包) 来访问 API。官方 SDK 通常会包含安全特性，例如自动处理身份验证、加密和错误处理等，从而帮助您防止常见的安全漏洞。官方 SDK 还会定期更新，以修复已知的安全漏洞和提高性能。使用官方 SDK 可以简化 API 集成过程，并提高应用程序的安全性。

四、示例：创建一个只读账户信息的 API 密钥

以下是一个详细的示例，演示如何安全地创建一个仅具备读取账户信息权限的 API 密钥。此方法有助于限制潜在的安全风险，即使密钥泄露，攻击者也无法进行资金转移或其他敏感操作。

1. 登录 Coinbase 账户： 使用您的用户名和密码，通过 Coinbase 官方网站安全地登录您的个人账户。请务必验证网址的真实性，以防钓鱼攻击。启用双因素认证 (2FA) 可以进一步增强账户的安全性。
2. 导航至 API 设置页面： 登录后，在账户设置或开发者设置中找到 API 管理或 API 设置选项。通常，这可以在个人资料或安全设置相关的菜单中找到。
3. 点击“创建新的 API 密钥”按钮： 在 API 设置页面，寻找创建一个新 API 密钥的按钮或链接，点击以开始创建流程。
4. 命名 API 密钥为“只读账户信息API”： 为新创建的 API 密钥提供一个清晰且具有描述性的名称，例如“只读账户信息API”。 这有助于您日后识别和管理不同的 API 密钥。
5. 在权限配置页面，只选择 accounts:read 权限： 在权限配置页面，您会看到一系列可供选择的权限选项。仔细审查这些选项，并 仅 勾选 accounts:read 权限。确保 取消 选择所有其他权限，例如交易、提现或修改账户设置的权限。
6. 点击“创建”按钮： 在确认已正确选择权限后，点击“创建”或类似的按钮以生成 API 密钥。
7. 安全地存储 API 密钥和密钥密文 (API Secret)： 创建成功后，Coinbase 将会显示 API 密钥（通常是公钥）和密钥密文 (API Secret)。 务必立即将这些信息存储在一个安全的地方，例如密码管理器或加密的文档中。 密钥密文只会在创建时显示一次，如果丢失，您需要重新生成 API 密钥。不要将这些信息存储在纯文本文件中或通过不安全的渠道传输。密钥泄漏可能导致安全风险，即使密钥仅具有只读权限，也应谨慎对待。

五、常见问题

• 我的 API 密钥被泄露了怎么办？ 如果您的 Coinbase API 密钥不幸泄露，请务必采取以下紧急措施：
  1. 立即禁用泄露的 API 密钥： 登录您的 Coinbase 账户，找到 API 管理页面，并立即禁用该密钥。这将阻止任何使用该密钥的未授权访问。
  2. 创建新的 API 密钥： 禁用旧密钥后，立即生成一个新的 API 密钥，并妥善保管其 Secret。
  3. 检查 Coinbase 账户活动： 仔细审查您的 Coinbase 账户是否有任何未经授权的交易、转账或其他可疑活动。重点关注交易历史、钱包余额和安全设置。
  4. 联系 Coinbase 客服： 立即向 Coinbase 客服报告密钥泄露事件。他们可以提供进一步的帮助，并协助您调查任何潜在的安全漏洞。提供所有相关信息，包括泄露密钥的时间、方式以及任何可疑活动。
  5. 审查代码和系统： 检查您的代码库和系统，找出 API 密钥泄露的原因。可能是硬编码在代码中、存储在不安全的位置或者被恶意软件感染。修复漏洞以防止再次发生。
• 我忘记了我的 API Secret 怎么办？ Coinbase API Secret 仅在 API 密钥创建时显示一次，并且无法恢复。出于安全考虑，Coinbase 不会存储或显示 API Secret 的历史版本。如果您忘记了 API Secret，唯一的解决办法是重新生成新的 API 密钥。
  1. 删除旧的 API 密钥： 为了安全起见，在创建新的密钥之前，先删除您无法找回 Secret 的旧 API 密钥。
  2. 创建新的 API 密钥： 创建新的 API 密钥时，请务必妥善保管新的 API Secret。建议将其存储在安全的地方，例如密码管理器或加密的配置文件中。
• 为什么我的 API 请求失败？ Coinbase API 请求失败的原因可能多种多样，需要仔细排查。以下是一些常见原因和相应的解决方案：
  1. 权限不足： 确认您的 API 密钥已授予执行所需操作的必要权限。例如，如果您尝试提取资金，则需要启用 "提款" 权限。
  2. 请求格式错误： 仔细检查您的 API 请求是否符合 Coinbase API 文档的要求。确保请求 URL、HTTP 方法、请求头和请求正文的格式正确。使用 JSONLint 等工具验证 JSON 格式。
  3. API 服务器错误： Coinbase API 服务器可能由于维护、升级或意外问题而暂时不可用。查看 Coinbase 的状态页面或社交媒体渠道，了解是否有已知的服务器问题。如果是服务器问题，请稍后重试。
  4. 网络连接问题： 确保您的应用程序可以连接到 Coinbase API 服务器。检查您的网络连接是否正常，并确保防火墙或代理服务器未阻止 API 请求。
  5. 速率限制： 如果您在短时间内发送了过多的 API 请求，您可能会受到速率限制。查看错误信息以确认是否达到了速率限制，并采取措施减少 API 调用次数。
  6. 无效的 API 密钥或 Secret： 确保您使用的 API 密钥和 Secret 正确无误。仔细检查是否有拼写错误或空格。
  强烈建议参考 Coinbase API 文档，了解详细的错误代码和解决方法。
• 我的API调用受到限制怎么办？ Coinbase API为了保障系统稳定性和公平性，实施了速率限制。当您的API调用频率超过允许的限制时，您将收到错误信息，例如 429 Too Many Requests 。 为了应对这种情况，可以采取以下策略：
  1. 理解速率限制： 仔细阅读Coinbase API文档，了解不同API端点的速率限制。不同的端点可能有不同的限制。
  2. 优化代码： 审查您的代码，减少不必要的API调用。例如，可以批量处理请求，或者缓存数据以避免重复调用。
  3. 使用指数退避算法： 当您收到速率限制错误时，不要立即重试。使用指数退避算法来逐渐增加重试之间的时间间隔。
  4. 监控API使用情况： 监控您的API使用情况，以便及时发现并解决速率限制问题。
  5. 考虑使用WebSocket： 对于需要实时数据的应用程序，可以考虑使用Coinbase的WebSocket API，它可以减少API调用次数。
  6. 联系Coinbase支持： 如果您需要更高的速率限制，可以联系Coinbase支持团队，说明您的需求。