RFC: 允许 user_api_key 自助 regenerate 自己的 user_api_key 吗？

[ZaynJarvis]

诉求

想确认是否允许普通 user_api_key（非 root）直接自助 regenerate 自己的 user_api_key。

场景

• 最近有成员问："她的 key 发给别人了/没法使用了，能不能用自己的 key 重置吗？"
• 目前没明确大规模“丢失/泄露”需求
• 团队多数场景下彼此信任并共同协作
• 但存在隐私担忧：如果仅 root 可以访问资源而 user 无法自助 rotate，会放大对管理员访问行为的信任成本
• 恶意泄露本身难以完全防范，但这个问题希望看是否能降低管理面风险

当前实现

当前路径 POST /api/v1/admin/accounts/{account_id}/users/{user_id}/key 仅限 ROOT/ADMIN（user 无权限）。

RFC 建议

是否有必要支持 user 仅对自身 key 的 rotate 机制（或配套审批/审计）以平衡体验和权限边界？

[MaojiaSheng]

赞同，另外希望能支持多个 apikey 从而允许轮换机制

[nexw]

赞同。