如何在没有 Steam API 密钥的情况下同步你的 CS2 库存

为什么分享 Steam Web API 密钥有风险？

Steam Web API 密钥是一个绑定到你账户的凭据。它让软件能读取你的账户数据，而且关键在于，还能代表你监视并取消你的交易报价。正规平台有正当理由使用这个 API，但密钥本身从来就不该被交给陌生人，或粘贴到随便某个网站里。

Steam 客服把由此产生的骗局记录为交易重定向。在钓走你的登录信息之后，攻击者在你的账户上生成一个 API 密钥，然后监视你发出的交易报价。当你把皮肤发给好友或市场时，那个恶意的自动化程序会取消真实的报价，偷偷换上一个看起来一样、却指向骗子机器人的报价。你在 Steam Guard 里确认了看起来正确的交易，物品就离开了你的库存。

危险之处在于，攻击者往往并不需要长期控制你的账户。短暂获得创建密钥的权限就足以布置好交易替换然后守株待兔。这就是为什么最安全的姿态很简单：绝不在第三方网站上输入或分享你的 API 密钥，并撤销任何不是你自己创建的密钥。

能在没有 API 密钥的情况下展示一个 CS2 库存吗？

可以，而且把人们常常混为一谈的两件事分开来看会很有帮助：登录，和读取库存数据。通过 Steam 登录使用的是 OpenID，这个流程由 Steam 自己托管，只证明你拥有某个 SteamID。它从不在第三方网站上索要你的密码，从不索要 API 密钥，也从不授予任何交易权限。

读取库存则是另一半。VSkin 把这套登录与一个浏览器扩展程序配合起来，由扩展程序从你自己已登录的 Steam 会话中读取库存，也就是当你在 Steam 上打开库存页面时浏览器本就能看到的同一份数据。由于数据来自你自己的会话，而不是来自一个共享的密钥，所以根本没有 API 密钥可被泄露、拦截或滥用。这也正是让交易锁定的皮肤对其他人可见的办法，因为你自己的会话是它们唯一出现的地方。

这个扩展程序读取什么，又不做什么？

同步你的 CS2 库存是它唯一做的事。它从你活跃的 Steam 会话中读取库存，并把那些物品数据发送给 VSkin，让你的展示页反映你实际拥有的东西。它是开源的，所以任何人都可以在安装前审查它到底读取了什么。

它不索要也不使用 Steam Web API 密钥，不请求任何交易权限，也从不发起、签署、取消或重定向交易。它不会在其他网站上运行。交易本身始终在玩家之间点对点进行：VSkin 从不持有你的物品、钱包或交易。

在没有 Steam API 密钥的情况下展示并同步你的 CS2 库存

1. 1

   用 Steam 登录

   打开 vskin.gg 并用 Steam 登录。Steam OpenID 流程只确认你的 SteamID。你永远不会在 VSkin 上输入密码，也永远不会被索要 Steam Web API 密钥或任何交易权限。

2. 2

   安装开源扩展程序

   从 Chrome Web Store 添加 VSkin 浏览器扩展程序；它可以在 Chrome 以及其他兼容的浏览器中运行。由于它是开源的，你可以在安装前确切查看它读取什么。

3. 3

   在浏览器中保持登录 Steam

   确保你在同一个浏览器里已登录 Steam。扩展程序读取的是你的浏览器在 Steam 库存页面上本就能看到的同一份库存数据，包括当前处于交易锁定状态的物品。

4. 4

   把你的 API 密钥保密

   养成习惯，绝不在任何第三方网站上输入 Steam Web API 密钥。定期打开 Steam 的 API 密钥页面，撤销任何你不认识的密钥。VSkin 从不需要它。

常见问题