在加密货币交易中，第三方工具（比如量化机器人、行情监控软件或者自动记账程序）想要安全地接入OKX交易所并执行指定操作，核心就一句话：**严格限定API权限范围，让密钥即使泄露，也无法造成资产损失**。这可不是什么技术难题，而是一道绕不开的安全底线。
大家都在用的虚拟币交易平台推荐：
- OKX（欧易）>>>进入官网<<< >>>官方下载<<<
- Binance（币安）>>>进入官网<<< >>>官方下载<<<
那么，具体该怎么操作？从登录到验证，一步步来，咱们把流程理清楚。
登录OKX并进入API管理页面
首先，打开OKX官网（>>>点击进入<<<），用你的主账户完成登录——双重验证（谷歌验证码或邮箱验证码）是必须的。登录成功后，点击右上角头像，在下拉菜单中选择【API管理】。
这里有个关键点：**必须用主账户登录**，子账户是无法创建API密钥的。如果页面提示“API功能未开启”，那就先到【账户安全】里手动启用一下API权限。
创建新API并设置最小必要权限
进入API管理页后，点击【创建API】按钮。系统会再次要求验证身份（比如输入谷歌验证码），通过后才能进入配置界面。
第一步：给API起个名字。建议用能标识用途的名称，比如“Freqtrade实盘合约”或“TradingView行情推送”，别用“main”“all”这种模糊名称——后期识别和禁用起来会很麻烦。
第二步：权限勾选。原则是 **只开交易和读取，绝对不勾选提钱**。具体来说：
- ✅ 读取：必须开启，用来查询余额、持仓、订单历史等基础信息；
- ✅ 现货交易 / ✅ 合约交易：按第三方软件的实际用途二选一或全选，但别多选无关类型；
- ❌ 提钱：无论什么场景都禁止开启。这不是建议，是生死线；
- ❌ 杠杆交易、期权交易：除非明确需要，否则一律不勾。
第三步：开启IP白名单。填入第三方软件所在服务器的公网IP地址——注意，不是你家宽带的IP。如果软件部署在云服务器（比如AWS EC2、阿里云ECS），可以在实例详情页查到公网IP。如果你是用Docker本地运行且不对外暴露，可以暂不绑定，但上线前务必补上这一条。
保存密钥并立即脱敏存储
确认权限无误后，点击【确定】。页面会一次性显示三组密钥信息：API Key、Secret Key、Passphrase。
这三组信息 **仅显示一次**，关闭页面后就不能再查了。所以，必须立刻复制并存入安全位置。
推荐方法：存入项目根目录下的 .env 文件。写入以下内容（替换为你的实际值）：
OKX_API_KEY=aef0bf16-xxxx-xxxx-xxxx-xxxxxxxxxxxx
OKX_SECRET_KEY=32位随机字符串
OKX_PASSPHRASE=你设置的密码短语
或者，存入密码管理器（如Bitwarden、1Password）。新建一条“登录”类型条目，标题写明用途（比如“OKX-Freqtrade-合约实盘”），把三段密钥分别填入用户名、密码、备注字段，打上“高危”标签。
**严禁行为**：直接写死在Python代码里、上传到GitHub仓库、发微信/QQ给他人、用截图保存在手机相册。这些操作一旦发生，后果可想而知。
验证API是否生效且权限受限
最后一步，验证API是否真的能用，且权限范围符合预期。
用requests调用账户余额接口做首次验证：发送GET请求到 https://www.okx.com/api/v5/account/balance，携带OK-ACCESS-KEY、OK-ACCESS-SIGN、OK-ACCESS-TIMESTAMP、OK-ACCESS-PASSPHRASE四个Header。
如果返回 code="0" 且 data字段包含USDT等币种余额，说明读取权限正常。如果返回错误码50100（密钥无效）或403（拒绝访问），检查一下：Secret Key是否复制错位？Passphrase是否大小写或空格有误？服务器时间与OKX时间是否相差超过30秒？可以用 /api/v5/public/time 校准时间。
接着测试下单接口（比如 /api/v5/trade/order），传入一个极小数量的限价单。如果返回 code="0"，且订单出现在OKX网页端“成交记录”中，说明交易权限已就位。如果返回 code="52001"（无交易权限），那就说明API创建时漏勾了对应的交易类型。
整个过程其实不复杂，但每一步都事关资金安全。花几分钟把权限和密钥管好，比事后补救要划算得多。
