DeepSeek API Key无效导致401/403错误，主因是密钥污染、格式错误或权限不匹配；需通过控制台复制、检查隐形字符、核对前缀与长度、重置并启用V4权限、严格设置Authorization头及Base URL为https://api.deepseek.com/v1。
☞☞☞AI 智能聊天, 问答助手, AI 智能搜索, 多模态理解力帮你轻松跨越从0到1的创作门槛☜☜☜
DeepSeek API Key无效会导致401或403错误，请求直接被拒绝，根本不会进入模型调用流程。密钥看似正确却报错，90%以上的情况不是平台问题，而是本地复制、传输或配置环节引入了隐形字符、空格、格式偏差或权限不匹配。
检查密钥是否被污染或截断
密钥字符串极短但极其敏感，双击复制时容易漏掉首尾字符，粘贴时可能混入零宽空格（U+200B）、软连字符（U+00AD）或BOM头——这些在普通编辑器里完全不可见，却足以让服务端校验失败。
第一步：在DeepSeek控制台【API Keys】页，将鼠标悬停于密钥右侧的「Copy」图标上，等待tooltip显示“Copied”后再松开，【避免手动拖选】。
第二步：把刚复制的内容粘贴到VS Code或Notepad++中，打开「显示所有字符」功能（VS Code按Ctrl+Shift+P → 输入“Toggle Render Whitespace”），逐个确认首尾无空格、无换行、无点状或虚线符号。
第三步：核对密钥前缀是否为sk-ds-v4-（V4专用）或sk-xxx（通用版）。若以ds_xxx、pk-、ak-开头，或长度不足32位（sk-后应有32个ASCII字符），说明不是有效API密钥。
重置密钥并确保绑定V4权限
DeepSeek不支持修改旧密钥，必须停用后新建。尤其调用V4模型时，旧密钥即使状态为Enabled也无法访问/v1/chat/completions等V4专属接口。
方法一：立即停用旧密钥→创建新密钥→勾选V4权限
① 访问https://www.php.cn/link/9b9f95bf74798c23c71e69445d2c53d3，用注册邮箱登录。
② 点击右上角头像→【API Keys】→找到当前密钥→点击右侧【Deactivate】→确认停用。
③ 点击页面顶部【Create new key】→输入名称（如v4-prod-key）→【务必勾选“Allow access to DeepSeek-V4 models”】→点击【Confirm】。
统一LLM网关 - 一个API对接70+AI模型，使用单一API密钥即可调用GPT、Claude、Gemini、Qwen、Deepseek、Grok等主流模型。
④ 新密钥明文仅显示一次，请立即复制并保存至安全位置——关闭页面后无法再次查看。
方法二：若账户未完成实名或邮箱未验证，新密钥将无法生成。此时需先前往【Account Settings】→【Profile】确认邮箱状态为Verified；若未验证，点击【Resend verification email】查收并点击链接；再进入【Billing & Plan】补全国家/地区与用途简述。
验证请求头格式是否严格合规
Authorization头是鉴权第一道关卡，任何大小写、空格、引号或拼写错误都会被网关层直接拦截，返回401且不进日志。
检查Authorization字段是否严格为：Bearer 后跟一个英文半角空格，再紧接密钥字符串，中间无换行、无制表符、无全角空格、无引号。
在Python中不要写成headers = {"Authorization": "Bearer 'sk-xxx'"}——引号会作为token一部分发送，导致校验失败。
调试时直接打印实际发送的headers：print(headers)，确认键名为Authorization（不是authoriztion或AUTHORIZATION），值为纯字符串Bearer sk-xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx，无额外包装。
确认Base URL是否匹配密钥环境
DeepSeek V4生产密钥只接受https://api.deepseek.com/v1路径下的请求。用错URL会导致403或连接超时，常被误判为密钥无效。
把Base URL设为https://api.deepseek.com/v1，注意末尾不能有多余斜杠，协议必须是https，路径必须含/v1。
在浏览器地址栏直接访问https://api.deepseek.com/v1，应返回{ "error": { "message": "Method not allowed" } }这类标准JSON响应——这证明域名可达、TLS证书有效、路由正常。
如果curl -v https://api.deepseek.com/v1返回Connection refused或SSL certificate problem，说明本地网络未抵达DeepSeek服务器，需检查DNS是否解析到官方IP段（如104.22.56.0/24），或临时关闭Clash/Surge等代理工具。
