授权

AHOLO Open API 在 OpenAPI 中声明的全局安全方案为 AuthorizationHeader：在开放平台网关请求的 HTTP Header 中携带 Authorization。

• 取值格式：直接填写在 Aholo 开放平台申请的 API key（与 API 密钥页面 中复制的一致），不要加 Bearer 等前缀。示例：Authorization: <您的 API key>。
• 未携带或 API key 无效时，接口通常返回 401，响应体为 ApiError（如 status: UNAUTHENTICATED，业务码见 details.metaData.bizCode）。

与资产（OUS）相关的头

获取上传凭证接口 GET /asset/v1/token（见 API 侧栏 资产）使用上述 Authorization。

在拿到响应中的 ousToken 之后，对 OUS globalDomain（国内常见为 https://ous-cos.kujiale.com，以接口实际返回为准）上的 ousCos* 请求，应使用 OpenAPI 中定义的 ous-token-v2 请求头，值为返回的 ousToken，与 Aholo 开放平台网关上的 Authorization 相互独立。

/ous/api/... 在 globalDomain 主机上调用，路径本身不需要也不应加 /global 前缀。

安全建议

• 勿在浏览器前端、移动端安装包或公开仓库中硬编码密钥。
• 定期轮换 API 密钥；泄露后尽快在平台侧作废并重新生成。