lowpoly 将于 2026年10月30日 下线。 请在这些日期前切换模型，以免请求报错。 查看所有弃用信息

Authentication

创建 Meshy 账户和 API key，然后在每个请求中发送该密钥。

API keys

创建 Meshy 账户

您需要一个 Meshy 账户来创建和管理 API key。不带 API key 的请求会返回 401 Unauthorized。

要创建账户，请在 Meshy 官网上注册。

创建 API key

创建账户后，您可以在开发者平台的 API Keys 页面上创建 API key。

您可以为不同用途创建多个 API key，例如一个用于您的 iOS 应用，另一个用于您的 Web App。Meshy 会分别跟踪每个密钥的使用情况，您可以随时撤销某个密钥。

您还可以为任何密钥设置每月积分限额。该限额限制了该密钥可以消耗的额度，而不受您账户整体使用量的影响。例如，可将其用于您提供给承包商或在某个特定环境中使用的密钥。

创建 API Key 对话框，带有可选的每月积分限额字段

要创建 API key，请按照以下步骤操作：

  1. 在 API Keys 页面，点击 Create API Key。
  2. 在 Name 中，输入该密钥的名称。
  3. 可选：在 Monthly credit limit (optional) 中，输入该密钥每月可消耗的最大积分数量。
  4. 点击 Create。
  5. 复制该密钥，并将其保存在安全的地方。关闭对话框后，您将无法再次查看该密钥。

使用 API key

在每个请求的 Authorization 头中，以 Bearer 令牌的形式发送 API key：

{
  "Authorization": "Bearer msy_sOmEbOgUsApIkEyFoReXaMpLe1234567890"
}

请求头值中的 Bearer 前缀是必需的。有关 bearer 令牌的更多信息，请参阅 RFC 6750。

将密钥限制为特定 IP 地址

IP 白名单会将某个 API key 限制为仅能从您的请求来源地址（例如您服务器的公网出口地址）使用。此后，Meshy 会拒绝来自其他任何地址使用该密钥，因此即使密钥被复制，其用处也会大大降低。没有白名单的密钥可从任何地址使用。

对于团队的密钥，只有团队管理员可以更改白名单。CLI 密钥没有白名单。

要设置白名单，请按照以下步骤操作：

  1. 在 API Keys 页面上，打开该密钥的菜单并点击 Manage IP allowlist。
  2. 添加每个地址或地址段。可选：为每个地址命名，例如 office NAT。
  3. 可选：点击 Check impact，查看该列表在过去 7 天内会拦截该密钥多少请求。
  4. 保存列表。

每个条目是一个 IPv4 或 IPv6 地址，例如 203.0.113.5，或一个 CIDR 地址段，例如 203.0.113.0/24。该列表遵循以下规则：

  • 一个密钥最多可添加 50 个条目，每个名称最多 60 个字符。
  • 条目必须是公网地址。Meshy 会拒绝私有地址、环回地址和链路本地地址，例如 10.0.0.0/8 或 127.0.0.1，因为来自这些地址的请求根本无法到达 API。请使用您的流量实际发出的公网地址。
  • 条目不能允许所有地址，例如 0.0.0.0/0。如果要接受任何地址，请移除该白名单。
  • Meshy 会将 CIDR 地址段保存为其网络地址。例如，203.0.113.5/24 会被保存为 203.0.113.0/24，这就是 Meshy 实际执行的地址范围。

该对话框还会列出过去 7 天内使用过该密钥的地址，您可以直接将其添加到白名单中。对于使用频繁的密钥，Meshy 会对地址进行抽样，因此列表可能不会显示所有地址。

更改最多在一分钟内的下一次请求时生效。移除白名单后，任何地址都可以在一分钟内重新使用该密钥。

来自白名单之外地址的请求会返回 403 Forbidden，并带有错误代码 ip_not_authorized。错误消息会指明被拒绝的地址，因此如果该地址确实属于您，您可以将其添加进白名单。被拒绝的请求不会消耗积分，也不计入您的速率限制。

安全性

请遵循以下准则，结合您团队自身的安全实践，确保您的数据和请求安全。

传输层安全性

Meshy 对您静态存储的数据进行加密，Meshy API 使用 TLS 对传输中的数据进行加密。所有发往和来自 API 的请求都通过 HTTPS 进行，通过 HTTP 发送的请求会收到 301 Moved Permanently。

请尽量避免使用 HTTP。如果您必须通过 HTTP 发送请求，请让您的 HTTP 客户端跟随重定向跳转到 HTTPS。以下示例展示了具体方法：

跟随 HTTP 到 HTTPS 的重定向

# use `-L` to follow HTTP to HTTPS redirections
curl -L https://api.meshy.ai/openapi/v1/balance \
  -H "Authorization: Bearer ${YOUR_API_KEY}"

重定向仅适用于 GET 请求。HTTP 客户端在重定向 POST 请求时会将其转为不带请求体的 GET 请求重新发送，因此创建任务时请始终直接调用 https://。

API key 安全

创建 API key 后，开发者平台将不再显示该密钥。请将其妥善保存，因为任何持有该密钥的人都可以以您的身份调用 Meshy API。Meshy 团队成员同样无法为您查看或恢复已撤销的密钥。

如果您认为自己的密钥已被他人获取，请在 API Keys 页面将其撤销。已撤销的密钥将不再可用。

IP 白名单可以大大降低泄露密钥的可用性，但它并不能替代撤销密钥这一操作。如果密钥泄露，请将其撤销并创建一个新密钥。

安全问题披露

如果您在 Meshy API 中发现安全问题，请联系 Meshy 支持团队。Meshy 重视负责任的披露，并会尽一切努力对您的贡献表示感谢。