关于 Bankr Agent - Safety & Access Control
介绍使用 Bankr API 和 CLI 的安全实践，涵盖密钥权限、IP 限制、钱包隔离和交易注意事项。适合为 Agent 配置访问权限并保护资金与凭据的开发者。
主要功能
- 01说明 API 密钥能力标志
- 02使用只读密钥限制访问
- 03按 IP 限制密钥使用范围
- 04建议为 Agent 使用独立钱包
- 05介绍密钥存储与轮换
- 06列出交易安全检查项
适用场景
- 01将 Agent 限制为只读查询
- 02仅允许指定 IP 使用 API 密钥
- 03将 Agent 资金与个人钱包隔离
- 04部署前准备凭据和安全措施
安装
复制下面的命令，在终端中运行。
$
npx skills add https:/安装后在 Claude Code 中输入/bankr-agent---safety-&-access-control确认已加载。
详细介绍
安全与访问控制
使用 Bankr API 和 CLI 的全面安全指南。
API 密钥类型
Bankr 使用单一密钥格式（bk_...），并通过功能标志控制权限：
| 标志 | 控制范围 | 默认值 |
|---|---|---|
agentApiEnabled | /agent/* 端点 | false |
llmGatewayEnabled | llm.bankr.bot 上的 LLM Gateway | false |
readOnly | 将 Agent 限制为只读工具 | false |
请在 bankr.bot/api 管理这些标志。
只读 API 密钥
当 readOnly: true 时，所有写入工具都会从 Agent 会话中过滤掉：
**允许：**余额、价格、分析、投资组合、研究
**禁止：**兑换、转账、NFT 购买、质押、订单、代币发行、杠杆交易、Polymarket 下注、领取
只读密钥调用 /agent/sign 和 /agent/submit 端点时会返回 403。
IP 白名单
在 API 密钥上设置 allowedIps，将使用范围限制为指定 IP。来自非白名单 IP 的请求会被拒绝，并返回 403。
- 空数组 = 允许所有 IP（默认）
- 非空数组 = 只有列出的 IP 可以使用该密钥
专用 Agent 钱包
构建自主 Agent 时，请创建一个独立的 Bankr 账户，而不要使用个人钱包：
- 降低风险敞口 — 密钥遭到泄露时，只会暴露 Agent 钱包中的资金
- 账目清晰 — Agent 交易与个人活动相互隔离
- 独立控制 — 可采用更严格的访问控制，而不影响个人使用
- 轻松撤销 — 可停用 Agent 账户，而不影响主钱包
建议的资金配置
| 链 | Gas 储备 | 交易资金 |
|---|---|---|
| Base | 0.01-0.05 ETH | 按需配置 |
| Polygon | 5-10 MATIC | 按需配置 |
| Ethereum | 0.05-0.1 ETH | 按需配置 |
| Solana | 0.1-0.5 SOL | 按需配置 |
速率限制
| 层级 | 每日限额 |
|---|---|
| Standard | 100 条消息/天 |
| Bankr Club | 1,000 条消息/天 |
| Custom | 按 API 密钥设置 |
重置周期为自首条消息起滚动计算的 24 小时，而非午夜重置。
密钥管理
- 将密钥存储在环境变量（
BANKR_API_KEY、BANKR_LLM_KEY）中，切勿写入源代码 - 将
~/.bankr/和.env添加到.gitignore - 定期在 bankr.bot/api 轮换密钥
- 密钥遭到泄露时立即撤销
- 如有需要，为 Agent API 和 LLM Gateway 使用不同的密钥
交易安全
- 先进行测试 — 先在 Base/Polygon 上使用小额资金，再逐步增加
- 核实接收方 — 转账前仔细核对地址
- 预留 Gas — 确保留有足够的原生代币支付 Gas 费用
- 立即执行 —
/agent/submit会直接执行，不会提示确认 - 了解 calldata — 任意交易都应验证其来源可信
部署前检查清单
- 使用专用 Agent 钱包，而非个人账户
- 根据用途，仅注入有限资金
- 如果 Agent 只查询数据，请设置为只读
- 为服务端 Agent 配置 IP 白名单
- 将密钥存储在环境变量中
- 先使用小额资金进行测试
- 为速率限制（429）和访问控制（403）实现错误处理
评论
支持 Markdown