每次 API 请求均需在 HTTP Header 中携带完整的鉴权信息。认证机制包含两套签名，需同时传入： 业务签名（XHMACSIGNATURE）：基于公私钥对请求进行业务级签名验证。 EOP 平台签名（EopAuthorization）：天翼云 EOP 平台标准认证签名，基于 AK/SK 与请求信息动态生成。 请求消息头（完整列表） 参数名 是否必填 说明 示例值 ContentType 是 消息体类型 application/json accountid 是 租户 ID tenant001 XAPPCODE 是 应用编码（即AK） yourappcode XREQUESTDATE 是 当前毫秒级时间戳 1713600000000 XHMACSIGNATURE 是 业务签名：使用privateKey对message做 HMACSHA256 后再 Base64 编码 Base64(HMACSHA256(privateKey, message)) ctyuneoprequestid 是 请求流水号，32 位随机 UUID 0ffb9b07d5a84e19b3ce12dfb9705a1d Eopdate 是 请求时间，格式yyyyMMdd'T'HHmmss'Z'，使用北京时间（UTC+8），TZ 仅为格式符号 20221107T093029Z EopAuthorization 是 EOP 平台认证签名信息 见下方生成说明 业务签名（XHMACSIGNATURE）生成方法 message 构造格式： java message publicKey + "" + XREQUESTDATE 签名算法（Java 示例）： java importcn.hutool.crypto.digest.HMac; importcn.hutool.crypto.SecureUtil; importcn.hutool.core.codec.Base64; String publicKey "yourpublickey";// 从控制台应用管理获取 String privateKey "yourprivatekey";// 从控制台应用管理获取，请勿泄露 long time System.currentTimeMillis();// 当前毫秒时间戳，即 XREQUESTDATE String message publicKey +""+ time; HMac hMac SecureUtil.hmacSha256(privateKey); String xHmacSignature Base64.encode(hMac.digest(message)); // Header 中传入： // XREQUESTDATE: time // XHMACSIGNATURE: xHmacSignature 签名算法（Python 示例）： python import hmac import hashlib import base64 import time publickey "yourpublickey" privatekey "yourprivatekey" timestamp str(int(time.time() 1000)) 毫秒时间戳 message publickey +""+ timestamp xhmacsignature base64.b64encode( hmac.new( privatekey.encode("utf8"), message.encode("utf8"), hashlib.sha256 ).digest() ).decode("utf8")

操作步骤 1. 单击应用卡片的“操作”列的“删除”。 2. 确认删除操作。 注意 删除应用后，与该应用关联的 APP CODE 与密钥将立即失效，使用该凭证的业务调用将中断，请谨慎操作。

操作步骤 支持按照模型ID、模型名称、参数规模、最近连通测试时间、创建时间对测评对象进行筛选。

操作步骤 1. 单击列表中操作列下的“评估详情”，可查看该次任务的评估详情。评估详情中展示测评摘要、失陷率排行榜、部分失陷样本展示等内容。 说明 只有任务状态为“部分完成”、“全部完成”时，“评估详情”可单击；其他任务状态，“评估详情”置灰。 2. 在部分失陷样本展示中点击详情可查看失陷样本详情，可将输入、输出、判定依据复制到剪贴板中。

单击目标测评对象所在行的“编辑”，修改其信息。完成修改后，单击“新建并测试”，系统将保存更新后的信息并发起一次针对该对象的连通性测试。

操作步骤 1. 单击应用卡片的“操作”，选择“复制APP鉴权信息”。 2. 系统将 APP CODE、公钥、私钥等完整鉴权信息一键复制到剪贴板，可直接粘贴到开发代码中使用。

创建和管理应用,获取 API 调用凭证。 企业可以为不同的业务线或产品分别创建独立的应用，实现权限隔离与独立管理。 操作步骤 1. 单击页面右上角的“新增”，弹出“新增应用”对话框。 2. 填写以下信息： 字段 是否必填 说明 应用名称 必填 为应用设置易于识别的名称，建议与业务系统对应。 启用状态 必填 默认开启，关闭后该应用的 API 调用将被拒绝。 代答库 选填 选择已创建的代答库，命中风险时将返回对应的代答内容。 白名单词库 选填 选择白名单词库，词库中的词语将被忽略风险检测。 黑名单词库 选填 选择黑名单词库，命中黑名单词语将直接拦截。 3. 单击“确认”完成创建。 创建成功后，系统会自动为该应用生成唯一的 APP CODE、公钥（publicKey）和私钥（privateKey），用于 API 调用鉴权。 说明 白名单与黑名单的优先级说明： 系统进行风险检测时：首先，将检测内容与白名单词库进行精确匹配。对于文本中成功匹配到的白名单词条，系统将自动忽略这些部分，不纳入后续的风险评估范围。随后，将检测文本与黑名单词库中的词条进行精确匹配。如果文本中成功匹配到黑名单词库中的任意词条，则直接返回对应的拦截类型，而不再进行后续的其他风险评估。

类型 作用 使用场景示例 黑名单词库 文本中出现黑名单词语时，直接拦截，不再进行后续风险评估。 竞品名称屏蔽、违禁词过滤。 白名单词库 文本中出现白名单词语时，该部分内容豁免风险检测。 企业专有名词保护、行业术语豁免。

示例一：文本输入检测 请求体： java { "checkService":"textinputcheck", "reqId":"req1001", "prompt":"请告诉我如何制作危险爆炸物" } 返回（命中风险）： java { "code":"200", "subCode":"200", "message":"请求成功", "success":true, "data":{ "checkResult":"fail", "failContent":"制作危险爆炸物", "failType":"宣扬暴力", "failTypeEn":"Violence", "presetResponse":"该问题无法回答" } } 返回（内容安全）： java { "code":"200", "subCode":"200", "message":"请求成功", "success":true, "data":{ "checkResult":"pass", "failContent":null, "failType":null, "failTypeEn":null, "presetResponse":null } } 示例二：文本输出检测（流式分片） 请求体（第一个分片）： java { "checkService":"textoutputcheck", "reqId":"req1002", "answerContent":"这是模型回复的第一段内容", "seqId":1, "isEnd":0 } 请求体（最后一个分片）： java { "checkService":"textoutputcheck", "reqId":"req1002", "answerContent":"这是模型回复的最后一段内容", "seqId":2, "isEnd":1 } 返回（命中风险）： java { "code":"200", "subCode":"200", "message":"请求成功", "success":true, "data":{ "checkResult":"fail", "failContent":"命中风险片段", "failType":"宣扬暴力", "failTypeEn":"Violence", "presetResponse":"该问题无法回答" } } 示例三：图片检测（URL 方式） 请求体： java { "checkService":"imagesecuritycheck", "reqId":"req1003", "imageUrl":" }

操作步骤 单击“更多 > 下载报告”，可将此次的测评报告下载到本地。 说明 “下载报告”仅在任务状态为“部分完成”或“全部完成”时才可单击；在其他任务状态下，按钮将置灰。

操作步骤 单击测评对象列表中的“连通测试”，可针对该对象发起连通性测试。 若测试通过，“连通状态”将更新为“正常”。 若测试过程中出现异常，系统将按步骤提示错误信息，用户可选择取消本次测试，或重新编辑对象信息后再次发起测试。

配额管理页面集中展示客户购买的所有服务。 操作步骤 当服务有可用测评次数且服务未到期时，“开始测评”可以单击，其余情况“开始测评”置灰。单击“开始测评”后跳转到测评中心页面。

操作步骤 单击“更多 > 预览报告”可预览报告。 说明 “预览报告”仅在任务状态为“部分完成”或“全部完成”时才可单击；在其他任务状态下，按钮将被置灰。

code subCode 说明 处理建议 200 200 请求成功，检测结果在data字段中 正常处理 500 500 请求参数错误（如 reqId 为空、参数格式不正确） 检查请求 Body 参数是否完整、格式是否正确 401 401 鉴权失败 检查所有 Header 签名信息；确认Eopdate未超过 15 分钟有效期；确认 XHMACSIGNATURE 签名计算正确 403 403 无访问权限 检查accountid与XAPPCODE是否匹配；确认应用状态为启用 429 429 请求频率超限 降低调用频率，或联系天翼云技术支持提升配额

类型 作用 使用场景示例 黑名单词库 文本中出现黑名单词语时，直接拦截，不再进行后续风险评估。 竞品名称屏蔽、违禁词过滤。 白名单词库 文本中出现白名单词语时，该部分内容豁免风险检测。 企业专有名词保护、行业术语豁免。

步骤 计算公式 说明 计算 ktime ktime HMACSHA256(eopdate, SK) 以 SK 为密钥，对 eopdate 做 HMAC 计算 kAk kAk HMACSHA256(AK, ktime) 以 ktime 为密钥，对 AK 做 HMAC 计算 kdate kdate HMACSHA256(eopdate的年月日, kAk) 以 kAk 为密钥，对 eopdate 的年月日（如20220525）做 HMAC

创建和管理应用,获取 API 调用凭证。 企业可以为不同的业务线或产品分别创建独立的应用，实现权限隔离与独立管理。 操作步骤 1. 单击页面右上角的“新增”，弹出“新增应用”对话框。 2. 填写以下信息： 字段 是否必填 说明 应用名称 必填 为应用设置易于识别的名称，建议与业务系统对应。 启用状态 必填 默认开启，关闭后该应用的 API 调用将被拒绝。 代答库 选填 选择已创建的代答库，命中风险时将返回对应的代答内容。 白名单词库 选填 选择白名单词库，词库中的词语将被忽略风险检测。 黑名单词库 选填 选择黑名单词库，命中黑名单词语将直接拦截。 3. 单击“确认”完成创建。 创建成功后，系统会自动为该应用生成唯一的 APP CODE、公钥（publicKey）和私钥（privateKey），用于 API 调用鉴权。 说明 白名单与黑名单的优先级说明： 系统进行风险检测时：首先，将检测内容与白名单词库进行精确匹配。对于文本中成功匹配到的白名单词条，系统将自动忽略这些部分，不纳入后续的风险评估范围。随后，将检测文本与黑名单词库中的词条进行精确匹配。如果文本中成功匹配到黑名单词库中的任意词条，则直接返回对应的拦截类型，而不再进行后续的其他风险评估。

操作步骤 在应用卡片顶部，通过“切换开关”可随时启用或停用该应用。停用后，使用该应用凭证的 API 调用将返回鉴权失败，不计费。

在线测试功能允许用户无需任何配置和代码,直接在控制台对检测服务进行体验验证。适合开发人员接入前的效果预验证,以及运营人员日常的功能体验。 模拟对用户输入内容（Prompt）的检测，对应 API 中的 textinputcheck 服务。 使用限制 在线测试每月免费额度为 1,000 次，当月剩余次数显示在页面说明栏中。 操作步骤 1. 单击“输入测试”标签页。 2. 在文本框中输入待检测的内容，或单击下方“预设输入测试用例”中的“应用”，快速填充示例文本。 3. 单击“进行测试”，系统将实时返回检测结果。 4. 检测结果以弹窗形式展示： 检测通过：弹出绿色“检测通过”提示。 检测未通过：弹出橙色"检测未通过"提示，并显示具体的风险类型（如“政治敏感”、“提示注入攻击”等）。 5. 如需重新输入，单击“清空”清除文本框内容。 预设用例：系统内置政治敏感、宣扬暴力、宣扬淫秽色情、违反社会主义核心价值观、歧视性内容、商业违法违规、侵犯他人合法权益、提示注入攻击等输入场景示例。

操作步骤 1. 单击“导入”。 2. 在弹出的对话框中上传符合格式要求的文件。 说明 可单击“测评对象模板下载”，获取模板，根据模板要求提供文件。 3. 单击“导入”，即可将新的测评对象批量导入至系统。

单击目标测评对象所在行的“编辑”，修改其信息。完成修改后，单击“新建并测试”，系统将保存更新后的信息并发起一次针对该对象的连通性测试。

操作步骤 勾选一个或多个模型后，单击“批量测试”，系统将对所选模型执行连通性批量测试。

操作步骤 单击列表中的“样本列表”，可以查看样本列表和任务的基本信息。

推荐使用场景 工具 推荐场景 不适用场景 AnythingLLM 企业文档问答、私有知识库管理、需严格权限控制的团队协作 快速测试模型、轻量级个人聊天需求 Open WebUI 个人或开发者快速体验模型、多模型切换测试、多模态交互(如语音/图像) 复杂文档管理、企业级安全与协作需求 注意 建议使用天翼云提供的 DeepSeek 镜像创建云主机，减少安装过程中可能遇到的问题。镜像选择请参考在天翼云使用Ollama运行DeepSeek的最佳实践7B等版本弹性云主机最佳实践AIGC实践 天翼云。 操作步骤： 一、云主机端口配置更新 1. 进入云主机详情页，选择安全组选项，添加新的开放端口。 建议选择新加 3001 端口。添加完成后，可在安全组规则列表中查看新添加的 3001 端口规则，确认其状态为正常生效。 2. 进入控制台，远程登陆即将安装AnythingLLM的云主机。

本章节主要介绍翼MapReduce组件Spark使用说明。 1. 任一用户登录集群客户端节点。 2. 配置/usr/local/ 下spark客户端目录 conf下的配置，主要是Sparkenv.sh 需要配置SPARKHOME、HADOOPHOME、HADOOPCLASSPATH等。 3. 如果当前集群已启用Kerberos认证，执行以下命令认证当前用户。如果当前集群未启用Kerberos认证，则无需执行此命令。 1. 首先klist kt ，获取keytab文件的principal，例如 klist kt user.keytab 获得 user/hostname@realm。 2. 然后kinit kt ，例如 kinit kt user.keytab user/hostname@realm。 3. Kinit认证完成登录后，可以klist l查看。 4. 如果SPARKHOME/bin 已经配置到系统环境变量中，可以直接sparkshell 进入。否则需要去到SPARKHOME/bin下执行。

本章节主要介绍翼MapReduce组件HBase支持的压缩算法。 HBase目前默认支持的压缩算法有snappy和gz，根据需要可以增加lzo、lz4、bzip2等算法支持。

本章节主要介绍翼MapReduce组件Spark的操作使用说明。 Sparkbeeline连接的目标可以是spark thrift server、也可以是kyuubi server。 我们以spark thrift server为例，提供链接流程如下： 1. 首先配置spark thrift相关配置。 1. Sparkenv.sh 中配置需要配置JAVAHOME、HADOOPHOME、HADOOPCLASSPATH、HADOOPCONFDIR等环境变量。 2. SPARKHOME/conf 路径下的hivesite.xml文件中，需要配置如下： hive.server2.transport.mode Set this to value: http hive.server2.thrift.http.port HTTP port number to listen on; default is 10001 如果hivesite.xml是软连接，且spark和hive混布，那么需要直接cp该文件到SPARKHOME/conf下面。 3. Sparkdefaults.conf中如果hadoop集群开启了Kerberos认证，那么需要配置spark.sql。 2. 启动spark thrift server。 SPARKHOME/sbin/startthriftserver.sh 3. 如果当前集群已启用Kerberos认证，执行以下命令认证当前用户。如果当前集群未启用Kerberos认证，则无需执行此命令。 1. 首先klist kt ，获取keytab文件的principal，例如 klist kt user.keytab 获得 user/hostname@realm。 2. 然后kinit kt ，例如 kinit kt user.keytab user/hostname@realm。 3. Kinit认证完成登录后，可以klist l查看。 4. Beeline链接sparkthriftserver。 SPARKHOME/bin u ‘jdbc:hive2:// : / ;principaluser/hostname@realm?spark.yarn.queueroot.default’ n user 5. 执行如下命令查询所有表，返回结果中存在表test，即表示访问OBS成功。 show databases

本章节主要介绍翼MapReduce组件Spark的设置问题。 参数作用 Spark是运行在executor container进程的 JVM上的，spark.yarn.executor.memoryOverHead 指的是executor jvm的堆外内存。 Executor container 消耗的总内存 spark.yarn.executor.memoryOverhead + spark.executor.memory + spark.memory.offHeap.size+spark.executor.pyspark.memory 其中spark.executor.memory ，spark.memory.offHeap.size 是spark运行时消耗的对象的存储内存。 spark.executor.pyspark.memory 是pyspark运行时，在spark.executor.memory + spark.memory.offHeap.size之外的开销。 spark.yarn.executor.memoryOverhead 指的是executor container进程，运行时数据区非堆部分的开销，即执行开销。 它包括JVM执行时自身所需要的内容，包括线程堆栈、IO、编译缓存等所使用的内存。 失效原因 在spark源码中，该参数出现在如下位置： AlternateConfig的key会被desprecated。 所以，自spark 2.3之后，将使用spark.executor.memoryOverhead，废弃spark.yarn.executor.memoryOverhead。

本章节主要介绍翼MapReduce组件Kafka作业的常见问题。 该报错是由于kafka消费者组缺少ACL授权导致的。 可以通过如下命令赋予消费者组XXX读取权限： ./kafkaacls.sh authorizerproperties zookeeper.connectlocalhost:2181/kafka add allowprincipal User:UserName operation Read group XXX

本章节主要介绍翼MapReduce组件Spark使用的常见问题。 问题说明 使用Spark SQL 访问Hive 表的一个表分区，但是运行速度却很慢。 分析样例： select x,y from test where x1 （其中x是test表的 Partition 字段） 原因分析 按照spark 源码逻辑，在解析逻辑计划时候回去调用 getPartitionsByFilter方法 去hive中只提取 x1 分区信息。 但是由于一些原因，导致getPartitionsByFilter 的谓词下推失败，从而去全表扫描所有test的分区信息，并返回。 例如，我们x字段是String类型，但是我们的SQL中不是 where x’1’ ，而是where x1 ，这就导致了谓词下推失败。 出现hive分区表谓词下推失败的情况，我们可以做如下处理： 我们需要去检查sql中的写法是否正确。 可以关闭SQL逻辑计划解析过程中的谓词下推逻辑。 处理步骤 关闭SQL逻辑计划解析过程中的谓词下推逻辑，具体是Spark SQL默认开启基于分区统计信息的执行计划优化，相当于自动执行Analyze Table（默认开启的设置方法为spark.sql.statistics.fallBackToHdfstrue，可通过配置为false关闭）。 开启后，SQL执行过程中会扫描表的分区统计信息，并作为执行计划中的代价估算，例如对于代价评估中识别的小表，会广播小表放在内存中广播到各个节点上，进行join操作，大大节省shuffle时间。 此开关对于Join场景有较大的性能优化，但是会带来 获取分区表信息RPC请求 的增加。 在SparkSQL中设置以下参数后再运行： set spark.sql.statistics.fallBackToHdfsfalse; 或者在启动之前使用conf设置这个值为false： conf spark.sql.statistics.fallBackToHdfsfalse

配置项 说明 开关机审计 审计用户的开关机行为，管理员可配置审计时间段。 系统登录防护 对系统账户登录进行细粒度的精准访问控制。 文件访问监控 监控目标文件、目录的改写操作。

流量画像 功能：采集终端流量，绘制全景流量图展示主机之间的通讯关系。 使用场景：适用于需要自定义修改配置策略模板流量画像场景。 1. 选择流量画像页签。 2. 点击流量画像 后的图标置于开启状态，即可开启流量画像功能。