401错误表明身份认证失败，但360智脑开放平台未向公众开放api，所谓密钥和sdk均不可信；真实401需按四步排查密钥格式、请求头、base url匹配及控制台状态。
☞☞☞AI 智能聊天, 问答助手, AI 智能搜索, 多模态理解力帮你轻松跨越从0到1的创作门槛☜☜☜
调用360智脑开放平台接口时返回401错误，说明服务端明确拒绝了身份认证请求，但该平台当前并未向公众开放标准API接入能力，所有声称可直接调用的PHP代码、SDK或密钥均不可信。
确认你是否真在调用“开放平台”
360智脑（zhineng.360.cn）没有面向个人开发者的公开API接口。网页端、App端、企业私有化部署是仅有的三条合法使用路径。如果你正在尝试发送 POST 请求到 api.zhineng.360.cn/v1/chat 或类似地址，该请求必然失败——实测返回 403 Forbidden 或 404 Not Found，绝不会出现 401。
出现 401 的唯一合理情形是：你误将其他服务商（如 OpenAI、Minimax、Azure）的调用逻辑套用到了 360 域名上，或使用了伪造/过期的第三方封装库。
排查真实来源的401错误
若确有 401 响应体含 {"error": {"type": "invalid_key", ...}} 或类似字段，请按以下顺序验证：
第一步：检查密钥字符串本身
在 PHP 中用 var_dump(trim($api_key)) 输出，确认无前后空格、无换行符、无零宽字符（\u200b）、无中文引号；密钥长度应在 32–64 字符之间，且不含特殊符号（如 $、@、%）。
第二步：核对 Authorization 请求头构造方式
必须严格为："Authorization" => "Bearer " . $api_key。注意 Bearer 后有一个英文半角空格，不能写成 "Bearer".$api_key 或 "Bearer: ".$api_key。
MiniMax MCP 服务器，提供网络搜索和图像理解能力。当用户需要：(1) 网络搜索信息，(2) 分析/描述图片，(3) 从URL提取内容时使用此技能。需配置 MINIMAX_API_KEY（国内版 api.minimaxi.com 或全球版 api.minimax.io）。
第三步：确认 API Base URL 与密钥发放平台完全匹配
例如：从 minimaxi.com 控制台获取的密钥，只能用于 https://api.minimaxi.com/v1；从 openai.com 获取的密钥，只能用于 https://api.openai.com/v1。混用必报 401。
第四步：登录对应服务商控制台，查看该密钥状态
检查是否被手动禁用、是否已过期、是否绑定了 IP 白名单（而你的服务器 IP 不在其中）、是否未开通目标模型权限（如 gpt-4-turbo 调用权限未勾选）。
替代方案：用真正可调用的安全分析API
方法一：调用 OWASP ZAP 的本地 REST API
先在本机启动 ZAP（需 Java 环境），然后用 PHP 的 curl 发送扫描请求，解析返回的 alerts 字段获取漏洞详情与修复建议。ZAP 响应稳定、格式明确，适合集成进 CI 流程。
方法二：查询 GitHub Security Advisories GraphQL API
构造 GraphQL 查询语句，指定 package 名称（如 "monolog/monolog"），直接获取官方维护的已知漏洞列表及补丁版本。无需鉴权，响应快，结果权威。
方法三：运行 PHPStan 并解析 JSON 输出
在项目根目录执行 phpstan analyse --error-format=json src/，捕获 stdout 后用 json_decode() 提取 type、message、file 字段，定位类型不安全或逻辑风险点。这一步完全离线，不依赖任何外部服务。
