如何在有道翻译控制台生成与绑定API密钥？

功能定位：为什么需要API密钥

有道翻译API密钥是调用云端翻译、同传、术语云等一切付费能力的唯一凭证。没有密钥，请求会被网关直接拒绝，并返回errorCode: 108。密钥同时承担计费、权限、流控三重职责，官方按“日活+字符量”阶梯计费，密钥泄露可能导致额外账单。

经验性观察：同一账号最多可创建10个应用，每个应用对应独立密钥；若你在内部有多套环境（Dev/QA/Prod），建议分应用隔离，方便独立关停与对账。

前置条件与成本阈值

1. 账号必须完成网易企业实名（个人开发者亦可，但日免费额度仅100元等值字符）。
2. 账户余额≥¥0，否则生成密钥按钮置灰。
3. 若需绑定移动端SDK，还需提供包名+SHA1签名（Android）或BundleID（iOS），否则会在运行时触发errorCode: 206。

成本速算示例

假设你的跨境电商ERP每天翻译50万字符，中英方向单价0.004元/字符，则日费用约20元；若开启“船舶领域模型”，单价上浮30%，但可减少人工后编1小时，按运营月薪8k折算，每小时成本约38元，经济账为正。

控制台入口（分平台最短路径）

桌面浏览器

1. 地址栏输入ai.youdao.com → 右上角「控制台」。
2. 首次登录会强制实名，上传营业执照或个人身份证后约5分钟通过。
3. 左侧菜单「我的应用」→「创建应用」→ 业务场景选「翻译与语言服务」。
4. 填写应用名称（允许中英文，勿带特殊符号）→ 提交。
5. 在应用详情页即可看到AppKey与AppSecret，点击「复制」按钮完成。

手机端（应急查看）

有道翻译App v11.4.0暂不提供完整控制台，但可在「我的 → 创作者中心 → API管理」快速复制已有密钥；若需新建应用，仍须切到桌面版。

绑定包名与签名：防止206错误

Android项目：在应用详情页「安全设置」里填入package="com.demo.xxx"，并在本地执行：

keytool -list -v -keystore release.jks | grep SHA1

将得到的SHA1去掉冒号，粘贴到「签名SHA1」输入框，保存后10分钟生效。

iOS项目：只需填写BundleID，无需签名摘要；但若后续开启Push翻译，需额外上传p8证书，否则推送通道会降级为轮询。

验证密钥是否生效

最轻量的验证方式是使用官方提供的在线调试页：

1. 控制台 → 工具箱 → 「API调试」。
2. 选择「文本翻译」→ 输入AppKey、AppSecret、q="hello"。
3. 点击「发送」→ 若返回JSON含translation字段，即表示密钥、计费、签名均通过。

若返回errorCode: 108，说明密钥未启用或余额为0；errorCode: 206则为包名/签名不匹配。

常见分支：密钥泄露后的应急流程

1. 立即在控制台「密钥安全」点击「重置Secret」，原Secret即时失效，线上服务会中断。
2. 若业务不能停，可先在代码里切换备用应用的密钥，再逐步替换。
3. 开启「IP白名单」或「Referer白名单」，将可调用端限制在已知ECS出口IP，降低再次泄露的损失。

与CI/CD的协同：最小权限原则

在GitHub Actions或GitLab Runner中，切勿把AppSecret写进yml，应使用加密变量：

echo "${{ secrets.YOUDAO_APP_SECRET }}" | base64 -d > local.key

流水线仅需要翻译步骤时，再赋予变量读取权限；构建完成后立即删除本地文件，避免缓存泄露。

不适用场景清单

• 日字符量<1万且为纯内部测试：可用官网「免费翻译」页，省去实名与账单。
• 需要离线环境：API密钥依赖公网，飞机、地铁无网场景请提前下载离线包，并改用本地SDK接口。
• 敏感政务内网：官方未提供私有化容器镜像，若数据不出域，需改用其他可本地部署引擎。

故障排查速查表

现象	可能原因	验证动作	处置
108	密钥未启用或欠费	控制台查看余额	充值或更换密钥
206	包名/签名不匹配	本地打印SHA1对比	修正后保存，10分钟生效
302	QPS超限	控制台「流量图表」	升配或缓存削峰

最佳实践决策树

1. 字符量>100万/日？→ 分应用隔离，开启独立账单告警。
2. 多端调用？→ 每个端建独立密钥，方便问题定位。
3. 外包团队接入？→ 使用「子账号+只读密钥」权限，项目结束一键禁用。
4. 担心泄露？→ 开启IP白名单+Referer校验，并设置余额告警≤50元。

FAQ（结构化数据）

收尾：下一步行动清单

1. 打开ai.youdao.com完成实名，创建第一个应用。
2. 用API调试页验证密钥，记录返回的requestId作为基准。
3. 在CI里用加密变量替换硬编码，并开启余额50元短信告警。
4. 若日字符过百万，再按决策树拆分子账号与独立密钥，确保账单可追踪、权限可召回。

完成以上四步，你就能在性能、成本、安全之间取得平衡，让有道翻译API密钥真正为你所用，而不是成为凌晨三点报警的噩梦。