认证方式
| 凭证 | 当前用途 | 调用边界 |
|---|---|---|
| 无凭证 | 公开技能目录、详情、入口包及免费包下载 | 可匿名使用 |
Authorization: Bearer ltak_… |
/api/me/skills；有来源授权时可访问 /api/skillhub/publish |
灵途造物中央 API Key，必须授权当前学堂应用 |
| 安装口令 Bearer | 指定会员技能、指定版本的 ZIP 下载 | 10 分钟有效；取得口令仍需网页登录和对应权益 |
| 学堂会话 Cookie | 学习、管理、创作、订单、来源授权和安装口令等 | 不会自动转为 API Key 接口；写操作校验 Origin |
旧 l2sk_…、平台发布口令 |
已停用 | 不再接受；旧密钥管理接口返回 410 |
在 灵途造物 API Key 创建或撤销密钥，勾选授权学堂。学堂后端实时调用中央验证接口，以 (issuer, sub) 查找原学堂用户；不按手机号或昵称自动合并，未关联时先通过统一登录登录学堂。学堂不保存用户密钥明文或摘要。
普通投稿继续检查学习权益与作品归属，仍须审核。机构来源由学堂网页 /my-skills/api-keys 按中央 keyId 单独配置，默认不授予任何来源；实际权限为密钥授权与账号当前成员资格的交集。成员移除后来源授权清除，重新加入不自动恢复。API Key 不能用于管理员审核或管理密钥。
密钥撤销、过期、移除应用授权、应用停用、关闭 API Key 接入或账号不可用，会阻止下一次请求。中央校验不缓存、不自动重试；中心不可用返回 503，不放行，也不回退 Cookie。显式提供无效 Authorization 时，即使浏览器已登录也拒绝该请求。
