Coinbase API秘籍：新手也能玩转交易！

频道： 新闻 日期： 浏览：28

Coinbase API 接口设置教程

一、准备工作

在使用Coinbase API之前，你需要拥有一个Coinbase账户。如果还没有账户，请前往Coinbase官网注册并完成账户设置。账户注册过程可能需要提供个人信息，例如姓名、电子邮件地址和电话号码，并进行身份验证，以确保符合Coinbase的安全和合规要求。身份验证通常包括上传身份证件照片和进行人脸识别。 完成注册后，请务必妥善保管你的账户信息，包括用户名和密码，并启用双重验证以增强账户安全性。双重验证可以在账户设置中开启，它会在你登录时要求输入一个额外的验证码，该验证码通常会发送到你的手机或通过身份验证器应用程序生成。

1. 注册Coinbase账户:

访问 Coinbase官方网站 ，仔细阅读并同意服务条款及隐私政策后，开始注册流程。创建账户时，务必使用常用且安全的电子邮件地址，并设置一个包含大小写字母、数字和特殊字符的高强度密码，以提高账户安全性。注册过程中，Coinbase会要求提供详细的个人信息，包括但不限于全名、居住地址、出生日期和电话号码。这些信息必须真实有效，以便顺利通过后续的身份验证。身份验证通常包括上传政府签发的有效身份证件（如护照、驾驶执照或身份证）的照片，以及进行人脸识别扫描。身份验证旨在符合反洗钱 (AML) 和了解你的客户 (KYC) 法规，确保平台合规运营，并防止欺诈行为。完成身份验证后，你的Coinbase账户才能进行完整的交易功能。

2. 启用双重验证 (2FA):

为了显著提高您在Coinbase账户的安全性，我们强烈建议您立即启用双重验证 (2FA)。双重验证为您的登录过程增加了一层额外的安全保障，即使您的密码泄露，攻击者也无法轻易访问您的账户。Coinbase 提供了多种双重验证方式，以满足不同用户的需求和安全偏好。

支持的双重验证方式包括：

  • Google Authenticator 或 Authy 等身份验证器应用： 这些应用程序生成基于时间的一次性密码 (TOTP)，每隔一段时间会自动更新。这种方式安全性较高，因为它不依赖于短信，可以有效防止 SIM 卡交换攻击。推荐优先使用此类应用。
  • 短信验证码 (SMS 2FA)： Coinbase 会将验证码通过短信发送到您的注册手机号码。虽然这种方式较为便捷，但安全性相对较低，容易受到 SIM 卡交换攻击等安全威胁，因此不建议作为首选的 2FA 方式。

启用双重验证的步骤：

  1. 登录您的 Coinbase 账户。
  2. 导航至账户设置。通常可以在页面右上角的头像或菜单中找到“设置”选项。
  3. 在设置页面中，找到“安全”或类似的选项卡。
  4. 在安全设置中，您会看到“双重验证 (2FA)”或“两步验证”的选项。
  5. 选择您偏好的双重验证方式（例如 Google Authenticator 或 SMS 验证码）。
  6. 按照 Coinbase 提供的详细指引完成设置过程。如果您选择使用身份验证器应用，您需要扫描 Coinbase 提供的二维码，并将应用程序生成的验证码输入到 Coinbase 中。
  7. 备份您的恢复码！在启用 2FA 时，Coinbase 会提供一组恢复码，请务必妥善保管。如果您丢失了您的 2FA 设备，可以使用这些恢复码来访问您的账户。

重要提示： 请务必选择安全性更高的身份验证器应用，并妥善保管您的恢复码。 定期检查您的安全设置，确保 2FA 仍然启用并且配置正确。 开启双重验证是保护您的数字资产免受未经授权访问的关键步骤。

二、创建API密钥

创建API密钥是访问Coinbase API的必要前提。API密钥如同访问令牌，允许你的应用程序或脚本安全地与Coinbase平台进行交互。通过API密钥，你可以程序化地执行诸如获取市场数据、管理账户、进行交易等操作，而无需手动登录Coinbase网站。

每个API密钥都与一组特定的权限（也称为scope）相关联。这些权限定义了密钥可以访问和操作哪些资源。在创建API密钥时，你需要仔细选择所需的权限。例如，如果你只想获取市场数据，则只需授予“read”权限；如果需要执行交易，则需要授予“trade”权限。为了安全起见，请始终遵循最小权限原则，即只授予API密钥完成任务所需的最低权限集合。避免授予不必要的权限，以降低潜在的安全风险。

Coinbase通常提供多种类型的API密钥，例如普通API密钥和OAuth 2.0授权。普通API密钥适用于简单的应用程序，而OAuth 2.0则更适合需要代表用户访问其Coinbase账户的第三方应用程序。选择哪种类型的API密钥取决于你的应用场景和安全需求。确保阅读Coinbase的API文档，了解各种API密钥类型的区别和使用方法。

创建API密钥后，务必将其妥善保管。API密钥应被视为敏感信息，类似于密码。不要将API密钥存储在公开的代码库或配置文件中。可以使用环境变量、密钥管理系统或其他安全方法来存储和管理API密钥。定期轮换API密钥也是一种好的安全实践，可以降低密钥泄露带来的风险。如果怀疑API密钥已泄露，应立即撤销该密钥并创建新的密钥。

1. 登录Coinbase开发者平台:

为了开始使用Coinbase API，你需要访问 Coinbase Developer Platform 。 使用你的Coinbase账户登录，这将允许你创建API密钥并管理你的应用程序。如果你还没有Coinbase账户，你需要先创建一个账户，然后才能访问开发者平台。登录后，你将能够访问各种开发资源，包括API文档、SDK和示例代码，这些资源将帮助你开始构建基于Coinbase的应用程序。务必阅读并理解Coinbase的API使用条款和开发者协议，以确保你的应用程序符合所有适用规则和规定。

2. 创建新的API密钥:

成功登录你的加密货币交易所账户后，导航至开发者平台。通常，你可以在用户设置、账户管理或类似的区域找到“API Keys”、“API管理”或类似的选项。进入API密钥管理页面后，点击“创建API Key”、“生成新的API密钥”或类似的按钮，开始创建过程。

在创建新API密钥的过程中，你需要为其指定一个名称（例如“My Trading Bot”）以便于日后识别和管理。更重要的是，你需要仔细设置该API密钥的权限。交易所通常提供多种权限选项，例如：读取账户余额、下单交易、提取资金等。 请务必只授予你的应用程序所需的最低权限。 例如，如果你的应用程序只需要读取市场数据，则不要授予其交易或提款权限。错误配置的API密钥可能导致资金损失或安全风险。仔细阅读交易所提供的权限说明文档，并根据你的实际需求进行选择。

某些交易所还允许你设置IP地址白名单，限制API密钥只能从特定的IP地址访问。这是一个额外的安全措施，可以有效防止未经授权的访问。强烈建议你配置IP白名单，尤其是对于执行交易操作的API密钥。完成所有设置后，点击“确认”、“生成”或类似的按钮，生成你的新的API密钥。请务必妥善保管你的API密钥，不要将其泄露给任何人。

3. 配置API密钥权限:

在创建API密钥的过程中，必须精细化配置密钥所具备的权限。Coinbase API提供了一系列权限控制选项，涵盖了广泛的功能范围，包括但不限于：读取账户余额信息、发起和管理交易操作、访问实时和历史市场数据、以及执行其他与账户相关的操作。每个权限选项都附带有详细的描述文档，务必认真阅读并充分理解其具体含义及潜在影响。

在权限选择环节，应遵循最小权限原则，即仅授予API密钥执行其预期功能所必需的最低权限集合。例如，如果您的应用程序仅需读取账户余额，则不应授予其交易权限。过度授权的API密钥可能成为安全风险的来源，一旦密钥泄露，攻击者将可能利用其拥有的权限进行恶意操作，造成不可挽回的损失。因此，务必根据您的应用程序的实际需求，精确选择并配置API密钥的权限。

Coinbase API权限体系可能会随着平台功能的更新而发生变化。定期审查您的API密钥权限配置，确保其与您的应用程序需求保持同步，并及时移除不再需要的权限，是维护API密钥安全的重要措施。 同时，关注Coinbase官方发布的API更新日志和安全公告，以便及时了解新的权限选项和潜在的安全风险。

常用权限说明:

  • wallet:accounts:read : 允许读取用户钱包账户的相关信息。该权限赋予应用程序访问用户账户余额、账户类型、账户创建时间以及其他账户元数据的能力。获取的信息可以用于显示账户概览、生成财务报表或进行风险评估。务必谨慎使用此权限，确保仅在必要时请求。
  • wallet:accounts:create : 允许应用程序代表用户创建新的钱包账户。此权限通常用于支持用户在应用程序内部方便地创建和管理多个账户，例如为不同的用途（如储蓄、投资或日常消费）设置独立的账户。在授予此权限前，应明确告知用户账户创建的目的和相关的风险。
  • wallet:addresses:read : 允许读取与用户钱包账户关联的加密货币地址。应用程序可以使用此权限获取用于接收加密货币的地址，或者验证交易是否已发送到正确的地址。注意保护用户地址的隐私，避免泄露给未经授权的第三方。
  • wallet:addresses:create : 允许应用程序为用户生成新的加密货币地址。每次生成新地址可以增强隐私性，避免地址重用带来的潜在风险。应用程序应安全地管理这些地址，并确保用户能够方便地访问和使用它们。
  • wallet:transactions:read : 允许读取用户钱包账户的交易历史记录。应用程序可以通过此权限获取用户的所有交易信息，包括交易时间、交易金额、交易对方地址以及交易状态等。这些信息可以用于追踪交易进度、分析交易模式或生成交易报告。
  • wallet:transactions:send : 允许应用程序代表用户发送加密货币交易。这是最敏感的权限之一，必须谨慎使用。在发送交易之前，应用程序应明确向用户展示交易详情，包括接收方地址、发送金额和手续费等，并征得用户的明确授权。建议实施多重身份验证机制，以防止未经授权的交易。
  • wallet:buys:read : 允许读取用户的购买历史记录。应用程序可以使用此权限获取用户购买加密货币的记录，包括购买时间、购买金额、购买价格以及支付方式等。这些信息可以用于分析用户的投资行为，或者提供个性化的投资建议。
  • wallet:sells:read : 允许读取用户的出售历史记录。应用程序可以使用此权限获取用户出售加密货币的记录，包括出售时间、出售金额、出售价格以及收款方式等。这些信息可以用于分析用户的投资行为，或者提供个性化的投资建议。
  • wallet:payment-methods:read : 允许读取用户已关联的支付方式信息，例如银行卡、信用卡或第三方支付账户等。应用程序可以使用此权限方便用户进行加密货币购买或其他交易。注意保护用户的支付信息安全，避免泄露给未经授权的第三方。遵循PCI DSS等安全标准，确保支付信息的安全存储和传输。
  • exchange:read : 允许应用程序访问交易所的公开数据，例如实时市场价格、交易对信息、交易量以及订单簿等。这些信息可以用于提供价格行情、进行市场分析或执行交易策略。应用程序应确保数据的准确性和及时性，并提供清晰的数据来源说明。

4. 获取API密钥和密钥：

完成API权限配置后，Coinbase将生成一对API密钥：API密钥（API Key）和API密钥密码（API Secret）。API密钥用于标识你的应用程序或账户，而API密钥密码则用于验证你的请求。 请务必极其谨慎地保管你的API密钥和密钥密码！它们是访问Coinbase API的关键凭证，拥有这两者就如同拥有了你账户的部分控制权。 未经授权的访问不仅可能导致资金损失，还可能造成数据泄露等严重安全风险。

建议采取以下措施来保护你的密钥：

  • 使用强密码管理器： 将API密钥和密钥密码存储在具有强大加密功能的密码管理器中，避免使用简单的文本文件或电子表格。
  • 限制API权限： 仅授予API密钥完成所需任务的最低权限。例如，如果你的应用程序只需要读取市场数据，则不要授予提现权限。
  • 定期轮换密钥： 定期更换API密钥和密钥密码，以降低密钥泄露带来的风险。Coinbase允许你生成新的密钥对，并禁用旧的密钥对。
  • 监控API使用情况： 密切关注API的使用情况，检测任何异常活动。Coinbase通常提供API使用统计信息，可以帮助你识别潜在的安全问题。
  • 避免硬编码密钥： 永远不要将API密钥和密钥密码硬编码到你的应用程序代码中。这会使你的密钥暴露给攻击者。
  • 使用环境变量或配置文件： 将API密钥和密钥密码存储在环境变量或配置文件中，并在运行时从这些位置加载密钥。
  • 实施访问控制： 限制对存储API密钥和密钥密码的服务器或计算机的访问。
  • 启用双因素认证（2FA）： 在你的Coinbase账户上启用双因素认证，为你的账户增加一层额外的安全保护。

一旦发现API密钥或密钥密码泄露，请立即禁用旧密钥对，并生成新的密钥对。同时，检查你的账户是否存在未经授权的活动，并采取必要的措施进行补救。

三、使用API密钥进行身份验证

在使用Coinbase API与Coinbase平台进行交互时，身份验证是至关重要的步骤。您需要生成并使用API密钥（API Key）和密钥（Secret Key）来验证您的身份，确保您对账户的操作是经过授权的。Coinbase API采用基于HMAC（Hash-based Message Authentication Code）的签名机制进行身份验证，这是一种安全的验证方式，能有效防止未经授权的访问和数据篡改。

HMAC签名过程涉及使用您的Secret Key对请求进行加密哈希处理，生成一个唯一的签名。这个签名会随着API请求一起发送给Coinbase服务器。服务器会使用相同的Secret Key和请求内容，通过同样的哈希算法重新计算签名。如果服务器计算出的签名与您发送的签名一致，那么服务器就会验证您的身份，并允许您访问相应的API端点和数据。HMAC的优势在于，即使攻击者截获了API请求和签名，他们也无法轻易地伪造有效的签名，因为他们不知道您的Secret Key。务必妥善保管您的Secret Key，避免泄露给他人，并定期更换，以提升账户安全。

1. 构建请求头:

与交易所API交互时，为了安全地验证你的身份并确保请求的完整性，构建正确的HTTP请求头至关重要。对于每一个发送到API服务器的请求，你必须包含以下必要的请求头信息：

  • CB-ACCESS-KEY : 你的API密钥。这是一个由交易所提供的唯一字符串，相当于你的用户名，用于标识你的账户。请务必妥善保管此密钥，避免泄露，否则可能导致资产损失。
  • CB-ACCESS-SIGN : 请求签名的HMAC值。这是一个利用你的API密钥和密钥对请求内容进行加密计算生成的签名。服务器会使用相同的算法验证签名，以确保请求没有被篡改，并且确实来自你。HMAC的计算通常涉及请求方法(GET, POST, PUT, DELETE)、请求路径、请求主体（如果存在）和 CB-ACCESS-TIMESTAMP 。你需要查阅具体的API文档了解HMAC签名的详细计算方法，通常会使用SHA256或其他哈希算法。
  • CB-ACCESS-TIMESTAMP : 当前Unix时间戳 (秒)。这是自Unix纪元（1970年1月1日 00:00:00 UTC）以来经过的秒数。提供时间戳有助于防止重放攻击。交易所会验证时间戳是否在可接受的范围内，以确保请求是最近发出的。需要注意的是，API服务器和你的本地时间需要保持同步，误差太大可能导致请求被拒绝。通常可以使用网络时间协议(NTP)客户端同步本地时间。
  • CB-ACCESS-PASSPHRASE : 你在创建API密钥时设置的passphrase（如果设置了的话）。这是一个可选的额外安全层，类似于API密钥的密码。如果你在创建API密钥时设置了passphrase，那么每次API请求都必须包含这个header。即使API密钥泄露，没有passphrase，攻击者也无法轻易使用你的API密钥。
  • Content-Type : application/ 。这个header告诉服务器你发送的数据的格式。对于大多数现代API，尤其是那些处理JSON数据的API， Content-Type 应该设置为 application/ 。如果API需要其他格式（例如， application/x-www-form-urlencoded ），请根据API文档进行调整。

2. 计算请求签名:

请求签名的计算是API安全通信的关键步骤，用于验证请求的完整性和来源。以下详细说明了请求签名的计算方法，务必精确遵循以确保API调用成功：

  1. 构建签名字符串： 需要将多个关键要素按特定顺序连接成一个字符串，作为后续哈希运算的输入。这些要素包括：
    • CB-ACCESS-TIMESTAMP ：这是一个时间戳，必须与请求头中包含的时间戳完全一致，表示请求的创建时间。使用时间戳有助于防止重放攻击。
    • 请求方法：HTTP请求方法，例如 GET 、 POST 、 PUT 或 DELETE ，必须全部大写。请求方法明确了对服务器资源的操作类型。
    • 请求路径：API的请求路径，不包含域名部分。例如， /api/v1/orders 。确保路径与实际请求的API端点完全匹配。
    • 请求体（如果存在）：如果请求包含请求体（例如， POST 或 PUT 请求），则必须将请求体的内容也包含在签名字符串中。对于 GET 和 DELETE 等通常不包含请求体的请求，此项可以忽略。注意，请求体的JSON格式需要规范化，例如，键的顺序需要固定，避免因顺序不同导致签名不一致。
    连接这些要素时，请确保没有额外的空格或换行符。 连接顺序必须严格按照上述顺序进行。
  2. HMAC-SHA256哈希： 使用你的API密钥（secret key）作为HMAC密钥，对上一步构建的签名字符串进行HMAC-SHA256哈希运算。
    • HMAC（Hash-based Message Authentication Code）是一种利用哈希函数进行消息认证的技术。
    • SHA256是一种常用的安全哈希算法，能够将任意长度的输入转换为256位的哈希值。
    • 务必使用安全的HMAC-SHA256库或函数，并确保密钥的安全性。
  3. Base64编码： 将HMAC-SHA256哈希的结果转换为Base64编码。
    • Base64是一种将二进制数据转换为ASCII字符串的编码方式，常用于在HTTP头部传输二进制数据。
    • Base64编码后的字符串将作为请求签名，添加到请求头中的 CB-ACCESS-SIGN 字段中。

代码示例 (Python):

该代码示例演示了如何使用 Python 与 Coinbase API 进行身份验证并发送 GET 请求，以获取账户信息。代码片段利用了 hmac 、 hashlib 、 base64 和 requests 库，确保安全地构建和发送经过身份验证的 API 请求。请务必替换占位符 API 密钥、密钥和密码，再执行这段代码。

import time import hmac import hashlib import base64

以上代码导入必要的 Python 库。 time 用于生成时间戳， hmac 用于创建消息身份验证码， hashlib 提供 SHA256 哈希算法， base64 用于编码签名。

api_key = 'YOUR_API_KEY' api_secret = 'YOUR_API_SECRET' api_passphrase = 'YOUR_API_PASSPHRASE' # 如果有设置

这些变量存储你的 Coinbase API 密钥、密钥和密码。请将 YOUR_API_KEY 和 YOUR_API_SECRET 替换为你的实际 API 凭据。 如果您在您的Coinbase账户上设置了密码，请同样替换 YOUR_API_PASSPHRASE ； 否则，请保持这个变量不变。

timestamp = str(int(time.time())) method = 'GET' path = '/v2/accounts' body = '' # 如果是POST请求，需要有JSON格式的请求体

此处， timestamp 变量存储当前 Unix 时间戳， method 变量表示 HTTP 请求方法 (本例中为 'GET')， path 变量指定 API 端点 ('/v2/accounts' 用于获取账户信息)。如果使用 POST 请求，需要设置 body 为符合API要求的 JSON 格式字符串。

message = timestamp + method + path + body signature = hmac.new(api_secret.encode('utf-8'), message.encode('utf-8'), hashlib.sha256) signature_b64 = base64.b64encode(signature.digest()).decode('utf-8')

此段代码构建签名。首先将时间戳、HTTP 方法、路径和请求体连接成一个消息字符串。 然后，使用 HMAC-SHA256 算法对消息进行签名，其中 API 密钥用作密钥。 将生成的签名进行 Base64 编码，以便在 HTTP 标头中使用。

headers = { 'CB-ACCESS-KEY': api_key, 'CB-ACCESS-SIGN': signature_b64, 'CB-ACCESS-TIMESTAMP': timestamp, 'CB-ACCESS-PASSPHRASE': api_passphrase, # 如果有设置 'Content-Type': 'application/' }

此代码创建一个包含必要 Coinbase 身份验证标头的字典。 CB-ACCESS-KEY 包含 API 密钥， CB-ACCESS-SIGN 包含 Base64 编码的签名， CB-ACCESS-TIMESTAMP 包含时间戳， CB-ACCESS-PASSPHRASE 包含密码 (如果已设置)。 Content-Type 设置为 application/ 表明请求体是 JSON 格式的。

import requests

导入 Python 的 requests 库，用于发送 HTTP 请求。

url = 'https://api.coinbase.com' + path response = requests.get(url, headers=headers)

构造完整的 API URL，并通过 requests.get() 函数发送 GET 请求，同时传递包含身份验证标头的字典。返回的 response 对象包含服务器的响应数据。

print(response.status_code) print(response.())

此段代码打印 HTTP 状态码和响应内容。 response.status_code 包含服务器返回的状态码（例如，200 表示成功）， response.() 将响应内容解析为 JSON 格式，以便于访问和使用。

3. 发送API请求:

将精心构建的请求头，包括必要的身份验证信息（例如API密钥、签名等），整合到你的API请求中。然后，使用你选择的编程语言或工具（如Python的`requests`库，JavaScript的`fetch` API，或Postman等API客户端），将该请求发送至Coinbase API的相应端点。在发送请求前，务必确认请求方法（GET、POST、PUT、DELETE等）与目标API的功能相符，并根据API文档正确设置请求体（request body，通常为JSON格式）中的数据。例如，如果要获取特定交易对的价格信息，可能需要发送一个GET请求到特定的价格端点；如果要下单，则可能需要发送一个POST请求，并在请求体中包含订单详情，如交易对、数量、价格等。请确保网络连接畅通，并处理可能出现的网络错误和API响应错误。

四、常见问题

1. 密钥丢失或泄露：

在加密货币API的使用过程中，密钥丢失或泄露是极其严重的安全事件，可能导致资产损失或数据泄露。API密钥是访问加密货币交易所或其他服务的凭证，一旦泄露，攻击者可以模拟你的身份执行交易、提取资金或访问敏感信息。因此，请务必妥善保管API密钥，并采取以下措施应对密钥丢失或泄露的情况：

立即禁用该密钥： 一旦发现API密钥可能已泄露，例如，密钥被意外上传到公共代码仓库、发送到错误的电子邮件地址，或者系统日志显示异常的API调用，应立即禁用该密钥。大多数交易所和API服务提供商都允许用户在其账户设置或API管理面板中禁用密钥。禁用密钥可以立即阻止任何使用该密钥进行的未经授权的访问。

创建一个新的密钥： 禁用旧密钥后，必须立即创建一个新的密钥。在创建新密钥时，请确保使用强密码和双因素身份验证来保护你的账户。考虑使用不同的密钥来访问不同的API端点或服务，以便限制单个密钥泄露的影响范围。例如，你可以使用一个密钥进行交易，另一个密钥进行数据查询。

审查API权限： 创建新密钥时，务必仔细审查并限制该密钥的权限。只授予密钥执行所需操作的最小权限。例如，如果密钥只需要读取市场数据，则不要授予其提款权限。这可以最大程度地减少密钥泄露造成的潜在损失。

监控API使用情况： 定期监控API的使用情况，例如API调用频率、交易量和IP地址。这可以帮助你检测异常活动，例如未经授权的交易或来自未知IP地址的访问。大多数交易所和API服务提供商都提供API使用监控工具，你可以使用这些工具来跟踪API活动。

实施安全最佳实践： 采取其他安全最佳实践来保护API密钥，例如：

  • 将API密钥存储在安全的地方，例如加密的数据库或硬件安全模块 (HSM)。
  • 不要将API密钥硬编码到应用程序代码中。
  • 使用环境变量或配置文件来存储API密钥。
  • 定期轮换API密钥。
  • 对所有API请求使用HTTPS。

通过采取这些措施，你可以显著降低API密钥丢失或泄露的风险，并保护你的加密货币资产和数据安全。

2. 权限不足:

当您尝试访问特定的 Coinbase API 端点时，可能会遇到权限不足的错误。 这通常发生在您的 API 密钥不具备访问该端点所需的必要权限时。Coinbase API 的安全机制严格控制每个 API 密钥能够执行的操作，以此来保护用户数据和系统安全。

要解决此问题，请仔细检查您的 API 密钥的权限配置。 登录您的 Coinbase 开发者账户，导航至 API 密钥管理页面，查看该密钥所关联的权限列表。 确保该密钥拥有访问您尝试调用的 API 端点所需的精确权限。 例如，如果您正在尝试获取用户的交易历史记录，则需要确保您的 API 密钥具有“wallet:accounts:read”和 “wallet:transactions:read”等相关的读取权限。 如果您需要进行交易，则必须配置相应的写入权限，比如"wallet:buys:create"或"wallet:sells:create"。

仔细审查权限范围至关重要。 授予过多的权限可能会带来安全风险，而缺少必要的权限则会阻止您的应用程序正常运行。 建议仅授予应用程序正常运行所需的最低权限集，以最大程度地降低潜在的安全漏洞风险。 请注意 Coinbase 可能会在未来的 API 版本中引入新的权限或修改现有权限，因此定期检查您的 API 密钥配置并进行必要的更新非常重要。

3. 请求频率限制:

Coinbase API为了保障系统稳定性和公平性，对请求频率实施了严格的限制。这意味着在一定时间内，您的应用程序可以向Coinbase API发送的请求数量是有限制的。当您的请求超过了允许的频率限制，Coinbase API将会返回一个错误响应，通常是HTTP状态码429 (Too Many Requests)，以此告知您已超出限制。

为了避免触发频率限制错误，开发者必须采取措施来控制请求频率。这包括实施请求队列或令牌桶算法等流量控制机制，合理安排API调用时序，以及在应用程序中加入指数退避策略（Exponential Backoff），即当收到频率限制错误时，程序暂停一段时间后重试，并且每次重试的等待时间呈指数增长，以避免持续的请求拥塞。

请务必仔细阅读并遵守Coinbase API的官方文档，了解具体的频率限制规则，例如每分钟或每小时允许的请求数量，以及不同API端点的限制可能存在的差异。 同时，监控您的应用程序的API请求行为，及时发现并解决潜在的频率超限问题，确保您的应用程序能够稳定可靠地访问Coinbase API。

4. 签名验证失败:

当你的请求签名与Coinbase API期望的不符时，会触发签名验证失败错误。这通常意味着签名计算过程中存在问题。以下是一些可能的原因和排查步骤：

签名计算方法： 请务必仔细检查你的签名计算方法。Coinbase API 使用 HMAC-SHA256 算法，你需要确保你的代码完全遵循了 Coinbase 官方文档提供的签名计算规范。任何细微的偏差，例如请求体排序错误、缺少必要的 header 或错误的字符串拼接，都会导致签名无效。

API 密钥和密钥： 确认你使用的 API 密钥 ( API Key ) 和密钥 ( API Secret ) 是正确的，且属于你尝试访问的 Coinbase 账户。密钥区分大小写，复制时要避免引入额外的空格或字符。检查你的密钥是否已被禁用或过期，这也会导致签名验证失败。

时间戳的准确性： 时间戳 ( timestamp ) 在签名计算中至关重要。Coinbase API 会验证请求的时间戳，以防止重放攻击。如果你的客户端时间与 Coinbase 服务器的时间偏差过大，签名验证将会失败。建议你使用网络时间协议 (NTP) 同步你的系统时间，或者从可靠的来源获取当前时间戳。通常，允许的时间偏差范围很小，几分钟的偏差就可能导致问题。

请求体 (Request Body)： 如果你的请求包含请求体（例如，POST 或 PUT 请求），确保你将完全相同的请求体用于签名计算。任何对请求体的修改，即使是添加或删除一个空格，都会改变签名值，导致验证失败。如果请求没有请求体，则签名计算中应使用空字符串。

HTTP 方法和路径： 用于签名计算的 HTTP 方法 ( GET , POST , PUT , DELETE 等) 和请求路径必须与实际发送的请求完全一致。例如，如果你在计算签名时使用了 GET 方法，但实际发送的是 POST 请求，签名验证会失败。同样，请求路径必须包含正确的 API 端点，并去除域名部分，仅保留从 / 开始的部分。

Header 顺序： 虽然 HTTP Header 通常被认为是无序的，但在某些情况下，特别是在调试签名问题时，header 的顺序也可能影响签名计算。确保你按照 Coinbase 官方文档规定的顺序添加 Header。

调试技巧： 为了调试签名验证失败的问题，你可以尝试以下方法：

  • 记录详细的日志： 记录用于签名计算的每一个参数，包括 API 密钥、密钥、时间戳、请求体、HTTP 方法和路径。这有助于你对比计算出的签名和你期望的签名。
  • 使用 Coinbase 提供的 SDK： 如果有可用的 Coinbase SDK，使用它来处理签名计算。SDK 通常会处理底层的签名细节，减少出错的可能性。
  • 对比示例代码： 参考 Coinbase 官方提供的示例代码，仔细对比你的代码，找出差异。
  • 使用在线签名工具： 一些在线工具可以帮助你计算 HMAC-SHA256 签名。你可以使用这些工具来验证你的签名计算是否正确。