认证方式

ChemFlow MCP 服务支持两种 API Key 认证方式，可任选其一。API Key 格式为 cf_ 前缀的字符串，通过微信公众号免费领取（见快速开始）。

免认证方法

以下 MCP 方法用于服务发现，无需携带 API Key：

方法	用途
`initialize`	协商协议版本、声明服务端能力
`tools/list`	获取工具清单（浏览可用工具无需 Key）

其余方法（如 tools/call）必须携带有效 API Key，否则返回 401。

方式一：Authorization Bearer Header（推荐）

使用标准 Authorization 头，以 Bearer 方案携带 API Key：

POST /mcp HTTP/1.1
Host: unveilchem.com
Content-Type: application/json
Accept: application/json, text/event-stream
Authorization: Bearer cf_your_api_key

curl -X POST https://unveilchem.com/mcp \
  -H "Content-Type: application/json" \
  -H "Accept: application/json, text/event-stream" \
  -H "Authorization: Bearer cf_your_api_key" \
  -d '{"jsonrpc":"2.0","id":1,"method":"tools/list","params":{}}'

方式二：X-API-Key Header

通过自定义请求头 X-API-Key 直接传递 API Key：

POST /mcp HTTP/1.1
Host: unveilchem.com
Content-Type: application/json
Accept: application/json, text/event-stream
X-API-Key: cf_your_api_key

curl -X POST https://unveilchem.com/mcp \
  -H "Content-Type: application/json" \
  -H "Accept: application/json, text/event-stream" \
  -H "X-API-Key: cf_your_api_key" \
  -d '{"jsonrpc":"2.0","id":1,"method":"tools/list","params":{}}'

错误响应

HTTP 状态码	error 字段	错误说明	处理建议
401	`missing_api_key`	请求未携带 API Key	检查认证头是否遗漏
401	`invalid_api_key`	API Key 无效或已禁用	核对 Key 是否正确、是否被禁用
429	`rate_limit_exceeded`	触发限流（RPS 超限或日配额耗尽）	降低调用频率或升级配额（见配额与限流）

401 响应体示例：

{
  "error": "missing_api_key",
  "message": "缺少 API Key。请在 Authorization 头或 X-API-Key 头中提供 API Key。"
}

429 响应附带限流响应头（X-RateLimit-Remaining 当日剩余次数、X-RateLimit-Reset 重置时间）与升级引导信息，详见配额与限流。

查看用量

登录微信公众号 UnveilChem，点击菜单「客户服务 → 我的 Key 与用量」，可查看：

当前 Key 信息（层级、每日配额、到期时间）
今日调用量（成功/失败、按工具分布）
最近 7 日调用趋势与最近 10 条调用明细

安全建议

不要在客户端代码中硬编码 API Key：应通过后端代理转发请求
使用 HTTPS：所有请求必须走 HTTPS，避免 Key 被中间人窃取
最小权限：为不同业务场景分配独立 Key，便于追踪与回收
及时吊销：Key 疑似泄露时，通过公众号或联系客服立即禁用并重新签发