解锁 Coinbase API: 交易账户，掌握先机？

Coinbase Global 平台 API 接口使用方法

Coinbase Global 提供了一套强大的 API 接口，允许开发者访问其平台上的各种功能，包括交易、账户管理、市场数据等。本文将详细介绍如何使用 Coinbase Global 的 API 接口，并提供一些实际操作的例子。

1. 获取 API 密钥

访问 Coinbase Global API 的首要步骤是获得 API 密钥。这使您能够安全地与 Coinbase 的平台交互，执行各种操作，例如检索市场数据、管理帐户和执行交易。为了开始，您需要在 Coinbase Developer 平台上创建一个帐户，并注册一个新的 API 应用程序。 成功创建应用程序后，系统将分配一个唯一的 API 密钥和一个与之关联的密钥 secret。务必小心处理这些凭据，因为它们对于保护您的帐户和防止未经授权的访问至关重要。

• 注册 Coinbase Developer 账户： 要开始，请导航至官方 Coinbase Developer 门户网站： https://developers.coinbase.com/ 。 按照网站上提供的注册说明创建一个新帐户。您可能需要提供个人信息和验证您的电子邮件地址。
• 创建 API 应用程序： 使用您的新创建的凭据登录到 Coinbase Developer 帐户。然后，创建一个新的 API 应用程序，这将代表您要开发的特定项目或应用程序。 在创建过程中，系统将提示您为您的应用程序提供一个描述性的名称和描述，以便于识别和管理。您需要选择您希望您的应用程序拥有的 API 权限。这些权限控制您的应用程序可以访问和执行的特定 Coinbase API 功能。 仔细考虑您需要的权限，仅选择您需要的权限以最大限度地减少潜在的安全风险。可用的权限可能包括访问帐户信息、交易历史记录、市场数据、交易执行等等。
• 获取 API 密钥： 创建 API 应用程序后，您将在应用程序仪表板中找到分配的 API 密钥和密钥 secret。API 密钥用作您的应用程序的公共标识符，而密钥 secret 是一个私密密码，用于验证您的请求。 将 API 密钥和密钥 secret 视为高度敏感的信息。切勿在公共位置（例如代码存储库、论坛或客户端应用程序）中公开它们。 强烈建议将您的 API 密钥和 secret 安全地存储在服务器端环境中，并使用环境变量或密钥管理系统来防止未经授权的访问。 如果您认为您的 API 密钥已泄露，请立即在 Coinbase Developer 平台上撤销该密钥并生成新密钥。

2. API 认证

Coinbase Global API 采用行业标准的 OAuth 2.0 协议进行身份验证，以确保交易安全和用户数据隐私。为了访问受保护的资源，您需要通过 OAuth 2.0 流程获取有效的访问令牌。此过程涉及使用您的 API 密钥（API Key）和密钥（Secret），这两个凭证在 Coinbase 开发者平台注册应用时获得。

API 密钥用于标识您的应用程序，而密钥则用于验证应用程序的身份。 使用 API 密钥和密钥，您可以向 Coinbase 授权服务器请求访问令牌（access token）。

访问令牌是具有时效性的字符串，用于对后续的 API 请求进行身份验证。 每次发送 API 请求时，都需要将访问令牌包含在请求头中。 通常，访问令牌会在一定时间后过期，过期后您需要使用刷新令牌（refresh token，如果在授权流程中获取了）重新获取新的访问令牌。 正确管理访问令牌对于维持 API 访问权限至关重要。

有关 OAuth 2.0 协议以及如何在 Coinbase API 中实施的更详细信息，请参考Coinbase 开发者文档和OAuth 2.0 规范。

获取访问令牌的方法：

Coinbase 提供多种方式获取访问令牌，这些令牌是访问 Coinbase API 并代表用户执行操作的关键凭证。根据应用类型和安全需求，可以选择不同的授权流程。

• Authorization Code Grant (授权码模式): 这是推荐用于服务器端应用程序、Web应用以及移动应用后端服务的安全且灵活的方法。该模式涉及以下步骤：
  1. 重定向用户： 您的应用程序将用户重定向到 Coinbase 授权服务器，用户在此处登录并授权您的应用程序访问其 Coinbase 帐户。
  2. 授权码接收： 用户授权后，Coinbase 会将一个唯一的授权码返回到您的应用程序预先注册的回调 URL。
  3. 令牌交换： 您的应用程序使用该授权码，通过向 Coinbase 令牌端点发起后端请求，安全地交换访问令牌和刷新令牌。此过程在服务器端进行，确保客户端无法直接访问敏感凭据。
  4. 访问 API： 获得访问令牌后，您的应用程序就可以代表用户安全地调用 Coinbase API。

  授权码模式的主要优势在于其安全性，因为它避免了在客户端直接暴露访问令牌。同时，刷新令牌的返回允许应用程序在用户不在线的情况下定期获取新的访问令牌，保持访问的持续性。

• Implicit Grant (隐式授权模式): 这是一种较旧的授权方法，主要用于完全在客户端运行的应用程序，例如单页应用程序 (SPA)。在此模式中：
  1. 用户授权： 用户同样被重定向到 Coinbase 进行身份验证和授权。
  2. 令牌直接返回： Coinbase 将访问令牌直接通过 URL 片段 (fragment) 返回给客户端应用程序，无需中间服务器。

  然而，隐式授权模式存在固有的安全风险，因为访问令牌会暴露在用户的浏览器历史记录和网络流量中，更容易受到攻击，例如跨站脚本攻击 (XSS)。由于这些安全问题，Coinbase 以及 OAuth 2.0 安全最佳实践强烈建议避免使用隐式授权模式，转而使用更为安全的 Authorization Code Grant 模式，即使对于客户端应用程序，也应考虑使用带有 PKCE（Proof Key for Code Exchange）的授权码模式来提高安全性。另外，隐式授权模式通常不提供刷新令牌，这意味着访问令牌过期后，用户必须重新授权应用程序。

使用 Authorization Code Grant 获取访问令牌的步骤：

1. 重定向用户到 Coinbase 进行身份验证： 将用户重定向到以下 URL，引导用户完成身份验证流程。此步骤至关重要，因为它启动了 OAuth 2.0 的授权流程。

   https://www.coinbase.com/oauth/authorize?response_type=code&client_id=[YOUR_CLIENT_ID]&redirect_uri=[YOUR_REDIRECT_URI]&scope=[DESIRED_SCOPES]

   • [YOUR_CLIENT_ID] ：替换为您的 API 客户端 ID，这是您在 Coinbase 开发者平台注册应用程序时获得的唯一标识符。务必确保此 ID 正确无误。
   • [YOUR_REDIRECT_URI] ：替换为用户身份验证后 Coinbase 将用户重定向到的 URL。此 URL 必须与您在创建 API 应用程序时指定的重定向 URI 完全匹配，否则授权过程将会失败。此 URL 用于接收授权码。
   • [DESIRED_SCOPES] ：替换为您需要访问的 API 权限的列表。范围定义了您的应用程序可以访问的用户数据的类型。例如， wallet:accounts:read,wallet:transactions:read 允许读取用户的帐户和交易信息。有关可用范围的完整列表，请参阅 Coinbase API 文档。仔细选择所需的范围，遵循最小权限原则。
2. 用户授权： 用户将被提示登录 Coinbase 并授权您的应用程序访问他们的数据。Coinbase 会显示一个权限请求页面，用户可以在此页面上查看您的应用程序请求的权限并选择授权或拒绝。
3. Coinbase 重定向用户到您的 Redirect URI： 如果用户授权成功，Coinbase 会将用户重定向到您指定的 Redirect URI，并在查询参数中包含授权码。此授权码是您后续获取访问令牌的关键。

   [YOUR_REDIRECT_URI]?code=[AUTHORIZATION_CODE]

   • [AUTHORIZATION_CODE] ：替换为 Coinbase 返回的授权码。这是一个临时凭证，有效期很短，您需要尽快用它来换取访问令牌。
4. 使用授权码请求访问令牌： 使用您的授权码、客户端 ID 和客户端 Secret 向 Coinbase API 发送 POST 请求，以请求访问令牌。此步骤通常在您的服务器端代码中执行，以保护您的客户端 Secret 不被泄露。

   POST https://api.coinbase.com/oauth/token
Content-Type: application/

   请求体:

   {
     "grant_type": "authorization_code",
     "code": "[AUTHORIZATION_CODE]",
     "client_id": "[YOUR_CLIENT_ID]",
     "client_secret": "[YOUR_CLIENT_SECRET]",
     "redirect_uri": "[YOUR_REDIRECT_URI]"
   }
   

   • [AUTHORIZATION_CODE] ：替换为 Coinbase 返回的授权码。
   • [YOUR_CLIENT_ID] ：替换为您的 API 客户端 ID。
   • [YOUR_CLIENT_SECRET] ：替换为您的 API 客户端 Secret，这是一个敏感信息，应该妥善保管，避免泄露。
   • [YOUR_REDIRECT_URI] ：替换为用户身份验证后 Coinbase 将用户重定向到的 URL。必须与您在授权请求中使用的 URL 匹配。
5. 接收访问令牌： 如果请求成功，Coinbase API 将返回一个 JSON 响应，其中包含访问令牌、令牌类型、过期时间、刷新令牌和授权范围。

   响应体:

   {
     "access_token": "[ACCESS_TOKEN]",
     "token_type": "bearer",
     "expires_in": 3600,
     "refresh_token": "[REFRESH_TOKEN]",
     "scope": "[DESIRED_SCOPES]"
   }
   

   • [ACCESS_TOKEN] ：替换为访问令牌。您需要在您的 API 请求中使用此令牌进行身份验证。访问令牌的有效期通常较短，例如 1 小时。
   • [REFRESH_TOKEN] ：替换为刷新令牌。您可以使用此令牌来获取新的访问令牌，而无需用户再次进行身份验证。刷新令牌的有效期通常较长，但仍然需要定期刷新。
   • expires_in ：访问令牌的过期时间，以秒为单位。
   • token_type ：令牌类型，通常为 "bearer"。
   • scope ：此访问令牌授予的权限范围。

3. 发送 API 请求

获取访问令牌后，您可以使用它来发送经过身份验证的 API 请求。访问令牌本质上是一个安全凭证，证明您的应用程序或用户已获得授权访问特定的资源或执行特定的操作。使用令牌的常见方式是在 HTTP 请求头中包含它，通常在 Authorization 头中，遵循 Bearer 方案。例如：

Authorization: Bearer YOUR_ACCESS_TOKEN

请务必根据 API 文档中指定的具体要求来构建您的 API 请求。这可能包括设置正确的 HTTP 方法（例如 GET 、 POST 、 PUT 、 DELETE ），提供所需的请求头（例如 Content-Type ），以及包含任何必要的请求体数据（例如 JSON 或 XML 格式的数据）。在使用访问令牌发送 API 请求时，需要考虑到以下几点：

• 安全性: 妥善保管您的访问令牌，不要在客户端代码或公共存储库中泄露它们。使用 HTTPS 协议来加密客户端和服务器之间的所有通信，防止中间人攻击。
• 权限: 访问令牌通常与特定的权限范围相关联。确保您请求的令牌具有执行所需操作的必要权限。如果您的令牌缺少必需的权限，API 请求可能会被拒绝。
• 过期时间: 访问令牌通常具有有限的生存期。在令牌过期后，您需要刷新令牌或重新获取一个新的令牌才能继续发送 API 请求。根据 API 提供商的策略，刷新令牌可能需要用户重新授权。
• 错误处理: 妥善处理 API 请求返回的错误。常见的错误包括无效的令牌、缺少权限、请求速率限制等。根据错误代码和消息采取适当的措施，例如重试请求、刷新令牌或通知用户。
• 速率限制: 许多 API 实施了速率限制来防止滥用。如果您的应用程序超过了速率限制，API 可能会返回一个错误。您需要实现一种机制来处理速率限制，例如使用指数退避算法来重试请求。

准确理解和正确使用 API 的文档至关重要，尤其是关于授权和请求格式的部分。不同的 API 具有不同的授权方案和请求规范，因此务必仔细阅读 API 文档并遵循其指导。

API 请求示例：

以下展示了一个获取用户账户信息的 API 请求示例，该请求使用了 Coinbase API 的 v2 版本。通过此请求，您可以获取账户 ID、账户余额、币种类型等关键信息。

GET https://api.coinbase.com/v2/accounts
Authorization: Bearer [ACCESS_TOKEN]

• [ACCESS_TOKEN] ：请务必将此占位符替换为您在 Coinbase 平台上生成的有效访问令牌。此令牌是您访问账户信息的凭证，务必妥善保管，避免泄露。访问令牌通常具有有效期，过期后需要重新生成。

API 响应：

在加密货币API交互中，服务器的响应通常采用JSON（JavaScript Object Notation）格式。JSON 是一种轻量级的数据交换格式，易于人阅读和编写，同时也易于机器解析和生成。它基于文本，并且完全独立于编程语言。使用JSON作为API响应格式，能够简化客户端应用程序的数据处理流程。

例如，当请求获取用户账户信息的API时，服务器返回的JSON格式响应可能如下所示。该响应包含账户的唯一标识符、账户名称、账户所使用的加密货币类型、账户余额以及创建和更新时间等关键信息。同时，为了便于分页浏览大量账户数据，响应中还包含了分页信息，如限制每页显示的账户数量、排序方式以及指向前一页和后一页数据的URI。

示例 JSON 响应：

{
   "data": [
     {
       "id": "2b350cb7-1f1a-589b-a1e8-d8f31c733ef3",
       "name": "My Bitcoin Wallet",
       "currency": {
           "code": "BTC",
         "name":  "Bitcoin"
        },
       "balance":  {
            "amount": "0.00000000",
         "currency": "BTC"
       },
        "created_at": "2017-12-08T15:20:12Z",
         "updated_at": "2017-12-08T15:20:12Z",
       "resource": "account",
       "resource_path":  "/v2/accounts/2b350cb7-1f1a-589b-a1e8-d8f31c733ef3"
     }
  ],
   "pagination": {
       "ending_before": null,
      "starting_after":  null,
      "limit":  25,
     "order": "asc",
     "previous_uri": null,
     "next_uri":  null
   }
}

字段解释：

• data : 包含账户信息的数组。每个元素代表一个账户。
• id : 账户的唯一标识符 (UUID)。
• name : 账户的自定义名称。
• currency : 包含账户所使用加密货币信息的对象。
  • code : 加密货币的代码 (例如, "BTC" 代表比特币)。
  • name : 加密货币的名称 (例如, "Bitcoin")。
• balance : 包含账户余额信息的对象。
  • amount : 账户余额的数量 (字符串类型，通常为高精度数字)。
  • currency : 余额的货币代码 (例如, "BTC")。
• created_at : 账户创建的时间戳 (ISO 8601 格式)。
• updated_at : 账户最后更新的时间戳 (ISO 8601 格式)。
• resource : 资源的类型 (例如, "account")。
• resource_path : 资源的API路径。
• pagination : 包含分页信息的对象，用于处理大量数据。
  • ending_before : 用于获取前一页数据的游标。
  • starting_after : 用于获取后一页数据的游标。
  • limit : 每页返回的数据条目数量。
  • order : 排序方式 ("asc" 代表升序)。
  • previous_uri : 指向前一页数据的URI。
  • next_uri : 指向后一页数据的URI。

请注意，实际的API响应可能包含更多字段，具体取决于API的设计和功能。理解这些字段的含义对于正确处理API响应至关重要。

4. 刷新访问令牌

访问令牌，作为身份验证的关键凭证，通常被设计为具有有限的生命周期。这种设计旨在增强安全性，降低因令牌泄露而造成的潜在风险。一旦访问令牌过期，客户端应用程序将无法再使用它来访问受保护的资源。此时，就需要使用刷新令牌来无缝地获取一个全新的、有效的访问令牌。

刷新令牌扮演着长期凭证的角色，它通常具有比访问令牌更长的有效期。它的主要作用是代表用户持续授权应用程序访问其资源。当访问令牌过期时，客户端可以使用刷新令牌向授权服务器请求一个新的访问令牌，而无需用户再次显式地登录或授权。这个过程通常发生在后台，对用户而言是透明的。

在刷新访问令牌时，应遵循最佳安全实践。例如，刷新令牌应该被安全地存储，并且应该只通过HTTPS连接发送。授权服务器应该验证刷新令牌的有效性，并确保它没有被滥用或泄露。一种常见的安全措施是“旋转”刷新令牌，即每次使用刷新令牌时，都颁发一个新的刷新令牌，旧的令牌随即失效，从而限制攻击者使用被盗刷新令牌的能力。

刷新访问令牌的步骤：

为了安全地访问您的 Coinbase 账户数据，您需要定期刷新访问令牌。通过向 Coinbase API 发送 POST 请求，您可以利用刷新令牌来获取新的访问令牌，从而避免每次都重新进行用户授权。

POST https://api.coinbase.com/oauth/token
Content-Type: application/

在请求体中，您需要提供以下 JSON 数据，务必确保数据的准确性和安全性：

{
  "grant_type": "refresh_token",
  "refresh_token": "[REFRESH_TOKEN]",
  "client_id": "[YOUR_CLIENT_ID]",
  "client_secret": "[YOUR_CLIENT_SECRET]"
}

• [REFRESH_TOKEN] ：这是您需要替换的字符串，用您现有的、有效的刷新令牌来替换。刷新令牌允许您在无需用户再次授权的情况下获取新的访问令牌。请妥善保管您的刷新令牌，防止泄露。
• [YOUR_CLIENT_ID] ：请将此占位符替换为您在 Coinbase 开发者平台注册应用后获得的 API 客户端 ID。客户端 ID 用于标识您的应用程序。
• [YOUR_CLIENT_SECRET] ：同样地，替换此占位符为您在 Coinbase 开发者平台注册应用后获得的 API 客户端 Secret。客户端 Secret 是一个敏感信息，请务必妥善保管，不要将其泄露给任何第三方。客户端 Secret 用于验证您的应用程序的身份。

如果请求成功，Coinbase API 将返回一个 JSON 响应，其中包含以下关键信息：

{
  "access_token": "YOUR_NEW_ACCESS_TOKEN",
  "token_type": "bearer",
  "expires_in": 3600,
  "refresh_token": "YOUR_NEW_REFRESH_TOKEN",
  "scope": "wallet:accounts:read,wallet:accounts:create"
}

• access_token ：新的访问令牌，您可以使用此令牌来访问受保护的 Coinbase API 资源。
• token_type ：令牌类型，通常为 "bearer"。
• expires_in ：访问令牌的有效期，单位为秒。
• refresh_token ：新的刷新令牌。请注意，每次刷新访问令牌时，刷新令牌也可能会被更新。务必保存新的刷新令牌，以便在下次需要刷新访问令牌时使用。
• scope ：访问令牌的权限范围。

请务必处理好返回的 JSON 响应，提取新的访问令牌和刷新令牌，并安全地存储它们以供后续使用。记住，访问令牌具有有效期，过期后需要使用刷新令牌重新获取。确保您的应用程序能够处理访问令牌过期的情况，并自动刷新令牌。

5. 常用 API 端点

以下是一些常用的 Coinbase Global API 端点，用于访问和管理您的加密货币账户。这些端点允许开发者以编程方式与 Coinbase 平台交互，执行诸如获取账户信息、创建交易和检索交易历史等操作。

• 获取用户账户信息： GET /v2/accounts

  此端点用于检索与您的 Coinbase 账户关联的所有账户列表。它返回一个包含账户信息的JSON对象，包括账户ID、币种类型、账户余额等。使用此端点可以全面了解您的 Coinbase 账户资产分布。

• 获取账户详情： GET /v2/accounts/:account_id

  通过指定特定的 account_id ，您可以获取有关特定账户的详细信息。 返回的数据包含该账户的余额、币种、名称和创建时间等详细信息。此端点对于监控特定加密货币账户的状态至关重要。

• 创建交易： POST /v2/accounts/:account_id/transactions

  此端点用于在指定的账户中创建新的交易。您需要提供交易的详细信息，例如收款人地址、交易金额和币种类型。成功创建交易后，将返回交易的详细信息，包括交易ID和状态。注意：需要进行身份验证和权限验证才能使用此端点。

• 获取交易历史： GET /v2/accounts/:account_id/transactions

  此端点允许您检索指定账户的交易历史记录。您可以指定查询参数，例如起始日期、结束日期和交易类型，以过滤结果。返回的数据包含交易的详细信息，包括交易ID、交易金额、交易日期和交易状态。此端点对于审计和追踪账户活动非常有用。

• 获取当前汇率： GET /v2/exchange-rates

  此端点用于获取不同加密货币之间的当前汇率。您可以指定基本货币和目标货币，以获取特定货币对的汇率。返回的数据包含汇率和时间戳。此端点对于跟踪市场价格波动和执行套利交易非常有用。

请参阅 Coinbase API 文档以获取可用 API 端点的完整列表，以及关于身份验证、速率限制和其他重要信息的详细说明。 务必仔细阅读文档，以确保您的应用程序能够正确地与 Coinbase API 集成。

6. API 使用注意事项

• 速率限制： Coinbase Global API 对请求频率设置了严格的速率限制，旨在保护系统稳定性和公平性。 开发人员在使用API时，务必留意并遵守这些限制。 超出速率限制可能会导致API请求被拒绝，影响应用程序的正常运行。 建议实施适当的重试机制和缓存策略，以优化API请求频率并避免超出限制。 详细的速率限制信息（例如，每秒/分钟/小时允许的请求数量）通常在Coinbase API的官方文档中提供，务必查阅并严格遵守。
• 错误处理： 在调用 Coinbase API 时，完善的错误处理机制至关重要。 API 调用可能由于多种原因失败，例如网络问题、无效的请求参数或服务器错误。 Coinbase API 通常会返回详细的错误信息，包括错误代码和错误消息，这些信息对于诊断和解决问题非常有价值。 应用程序应该捕获这些错误信息，并采取适当的措施，例如重试请求、记录错误日志或向用户显示友好的错误提示。 通过有效地处理API错误，可以提高应用程序的健壮性和用户体验。
• 安全性： API 密钥和 secret 对于访问 Coinbase Global API 具有至关重要的作用，必须妥善保管，防止泄露。 切勿将 API 密钥硬编码到客户端代码（例如，JavaScript 或移动应用程序）中，因为这些代码很容易被反编译或截获。 应采取以下措施来确保 API 密钥的安全：使用环境变量或配置文件来存储 API 密钥；使用服务器端代码来处理 API 请求，从而避免将 API 密钥暴露给客户端；定期轮换 API 密钥，以降低密钥泄露的风险；启用双因素身份验证 (2FA) 以保护 Coinbase 账户的安全。 违反安全最佳实践可能会导致 API 密钥泄露，从而使攻击者能够访问您的 Coinbase 账户和数据。
• API 版本： 持续更新和维护 API 版本是保持应用程序与 Coinbase 平台兼容性的关键。 Coinbase 可能会定期发布新的 API 版本，其中包含性能改进、新功能和安全修复。 使用过时的 API 版本可能会导致应用程序无法正常工作或容易受到安全漏洞的攻击。 建议定期检查 Coinbase API 的官方文档，了解最新的 API 版本信息，并及时升级您的应用程序。 通常，API 文档会提供有关版本迁移的详细指南，以帮助开发人员顺利过渡到新版本。

通过遵循这些 API 使用注意事项以及 Coinbase Global API 文档中提供的详细信息，您可以安全有效地使用 Coinbase 平台提供的强大功能，构建创新的加密货币应用程序。