认证 - Kyren Pay

公开商户集成接口（如 /v1/products、/v1/checkouts 和 /v1/orders）通过 x-api-key 请求头中的 API 密钥认证。不同接口使用不同认证方式：

接口	认证方式
公开商户集成 API	`x-api-key`
公开 `/v1/config/*` 配置接口	无需认证
商户控制台 `/v1/merchant/*` 接口	登录 JWT：`Authorization: Bearer <token>`；API 密钥不能代替控制台登录
Epay 兼容 API	`pid` 加接口要求的 MD5 `sign`；`/epay/api.php` 使用 `pid` 加原始 `key`

Epay 的独立签名规则见 Epay 签名。

API 密钥

启润支付使用 API 密钥来认证请求。你可以在商户控制台中管理你的 API 密钥。当前后端实现接受生产 API 密钥：

密钥类型	前缀	用途
生产密钥	`kyren_live_`	生产环境 — 真实付款

调用需要认证的公开商户集成接口时，在 x-api-key 请求头中包含你的 API 密钥：

curl https://api.kyrenpay.com/v1/products \
  -H "x-api-key: kyren_live_xxxxxxxxxxxxxxxxxxxx"

请妥善保管你的 API 密钥。

环境	Base URL	API 密钥前缀
生产环境	`https://api.kyrenpay.com`	`kyren_live_`
Staging	由 Kyren 支持提供	仅使用 Kyren 为该 Staging 环境提供的凭证

当前公开生产 API 接受 kyren_live_ 前缀的生产密钥。商户控制台目前不提供自助创建 kyren_test_ 测试密钥。只有在 Kyren 向你提供对应环境的 Base URL 和凭证时，才应使用 Staging 环境。

如果你的 API 密钥泄露，可以在控制台中重新生成：

重新生成密钥会立即使旧密钥失效。请确保更新所有集成中的密钥。

需要认证的接口在缺少或拒绝 API 凭证时返回 HTTP 401 Unauthorized。认证中间件不保证返回 JSON 响应体，请先检查 HTTP 状态，再尝试解析 JSON。应用层 JSON 错误码见错误处理。常见原因：