枢轴点EA只需要读取行情和管理订单时，不应获得出金、修改账户安全设置或访问无关数据的权限。API密钥泄露会把策略故障升级为账户安全事件。原8月18日页面没有权限信息，本页给出最小权限清单。
按功能拆分密钥与账户
行情读取、交易执行、报表和管理后台尽量使用不同凭证。影子模式只读，不授予真实下单；开发测试使用隔离账户，避免错误代码触及生产资金。
密钥不写进代码和日志
使用安全的环境注入或密钥管理服务，限制可访问进程和人员。错误日志、截图、压缩包与聊天记录都可能意外暴露凭证，发布前应自动扫描并人工复核。
限制来源并定期轮换
平台支持时启用IP白名单、强认证和子账户权限。轮换要有双密钥过渡与回滚，避免直接替换导致交易程序失联；离职、设备丢失或疑似泄露时立即撤销。
异常调用要能快速发现
监控登录位置、调用端点、请求频率、订单数量与权限错误。出现未知来源、非交易时段操作或大量拒单时，暂停新单、撤销密钥并核对账户。
应急预案明确谁能吊销权限、如何保留审计证据、怎样处理已有仓位和何时恢复。轮换后验证旧密钥确实失效，备份和CI日志中也没有残留。
密钥读取失败时，程序应停止新单并告警，不能回退到硬编码备用凭证。错误信息只显示密钥标识，不输出完整值或可复用的签名内容。
定期盘点所有有效密钥、用途、所有者和最后使用时间。无人负责、长期未使用或权限过大的凭证应撤销，而不是留作“以后可能用”。