认证方式
| 凭证 | 当前用途 | 调用边界 |
|---|---|---|
| 无凭证 | 公开工作流目录和指南预览；公开技能目录、详情、入口包及免费包下载 | 可匿名使用 |
Authorization: Bearer ltak_… |
/api/me/skills；账号有发布权限时可访问 /api/skillhub/publish、/api/workflows/publish 和本人工作流的 /api/workflows/{slug}/pricing |
灵途造物中央 API Key，必须授权当前学堂应用 |
| 安装口令 Bearer | 指定会员技能、指定版本的 ZIP 下载 | 10 分钟有效；取得口令仍需网页登录和对应权益 |
| 学堂会话 Cookie | 学习、管理、创作、订单、工作流 ZIP 下载、个人记录、安装口令等 | 不会自动转为 API Key 接口；写操作校验 Origin |
旧 l2sk_…、平台发布口令 |
已停用 | 不再接受；旧密钥管理接口返回 410 |
在 灵途造物 API Key 创建或撤销密钥，勾选授权学堂。学堂后端实时调用中央验证接口，以 (issuer, sub) 查找原学堂用户；不按手机号或昵称自动合并，未关联时先通过统一登录登录学堂。学堂不保存用户密钥明文或摘要。
学员投稿已停用。管理员在 /admin/skill-publishers 按账号授予发布权限，技能和工作流模板共用。不再配置发布来源或逐个 Key 授权；已获权限账号的所有有效、已授权学堂的中央 API Key 均可发布和更新平台目录。移除账号权限后，下一次发布请求立即拒绝；重新授予账号权限后有效 Key 即可继续使用。API Key 不能用于管理员审核或管理密钥。
密钥撤销、过期、移除应用授权、应用停用、关闭 API Key 接入或账号不可用，会阻止下一次请求。中央校验不缓存、不自动重试；中心不可用返回 503，不放行，也不回退 Cookie。显式提供无效 Authorization 时，即使浏览器已登录也拒绝该请求。
