使用第三方 Twitter API 合法吗？

#使用第三方 Twitter API 合法吗？

基于第三方 Twitter API 的项目是否合法，由三类规则决定，每一类问的问题不同：

1. 计算机访问法律问的是：有没有人进入了自己无权进入的系统。受保护账号、私信和他人的登录凭证，正是这条界线所在。

2. 合同问的是：你同意了什么。包括你所用密钥的提供方的条款，以及你在 X 上的任何行为所适用的 X 条款。

3. 隐私法问的是：你留存了哪些关于人的信息。在欧盟和英国，带有姓名或用户名的公开帖子仍然是个人数据。

在第一层上，美国法院把界线划在公开数据周围。在 hiQ Labs 诉 LinkedIn 案（在新标签页打开）中，第九巡回上诉法院于 2022 年 4 月认定，采集 LinkedIn 的公开个人资料很可能不属于《计算机欺诈和滥用法》所称的“未经授权”访问。同年晚些时候，该案在合同问题上对 hiQ 不利：初审法院认定 hiQ 违反了 LinkedIn 的用户协议。法律和合同是两个独立的问题，两者都要考虑。

自行从 x.com 采集数据是另一个问题，有另外的答案，详见抓取 Twitter 是否合法。

#使用第三方 API 时适用谁的条款？

这场讨论中被人引用的每份文件，都是与接受它的人订立的合同，所以先理清你接受过哪几份。我们在 2026 年 11 月 2 日逐一阅读了它们：

• 提供方的服务条款

  谁来接受

  你，在创建账号并获取 API 密钥时

  与本文相关的要点

  你能拿数据做什么，以及你遵守自身适用法律的义务

• X 服务条款（在新标签页打开），2026 年 10 月 9 日起生效

  谁来接受

  你，在注册 X 或使用其网站、应用或官方 API 时

  与本文相关的要点

  你如何使用 X 及你的 X 账号；作者“保留所有权和权利”

• X 开发者协议（在新标签页打开）与开发者政策

  谁来接受

  使用官方 X API 的开发者

  与本文相关的要点

  涵盖官方 X API 及其返回的内容：速率限制、数据共享上限、禁止训练基础模型

请完整阅读你已接受的文件。如果你登录 X，或在官方 X API 上运行应用，X 的规则同样适用于这些使用方式。

2023 年关于第三方应用的规定

在关于第三方 API 的回答中，最常被引用的那条规定，范围比听起来要窄。2023 年 1 月，Twitter 切断了 Tweetbot 和 Twitterrific 等第三方应用之后，在开发者协议中加入一句，禁止开发者使用官方 X API“创建或试图创建 X 应用的替代品或类似服务或产品”，The Register 当时有报道（在新标签页打开）。这句话至今仍在。它写在管辖官方 X API 的协议里，针对的是取代 X 自家应用的应用。

#存储公开帖子时，隐私法有哪些要求

隐私法跟着数据里的人走，而不是跟着你获取数据的 API 走，所以所有来源适用同样的规则。团队最先遇到的两部法律，对公开帖子的态度正好相反：

• GDPR（在新标签页打开）（欧盟、欧洲经济区）和英国 GDPR

  适用情形

  你在当地设有机构，或向当地人提供服务，或监控其行为

  公开帖子是个人数据吗？

  是：任何与可识别个人有关的信息，用户名也算

  对你的要求

  需要合法依据（如合法利益）；除非需付出不成比例的努力，否则须告知相关人员；只保留所需数据；不再需要时删除

• CCPA（在新标签页打开）（加利福尼亚州）

  适用情形

  你的企业达到其门槛，且持有加州居民的数据

  公开帖子是个人数据吗？

  个人向公众公开的信息：否；由此推断出的画像：是

  对你的要求

  对你持有的个人信息（包括推断出的画像）发出通知并回应隐私请求

有两点容易让团队踩坑。其一，GDPR 对揭示政治观点、宗教、健康或性取向的数据有严格限制，所以别让你的项目去推断这些内容。其二，你的副本要保持最新：在 X 上已删除的帖子，或已转为私密的账号，不应继续留在你的数据库里。

#你采集的帖子归谁所有？

帖子归写帖子的人所有。X 的服务条款规定，用户保留其所发内容的所有权，并授予 X 展示这些内容的许可，照片和视频同样归其作者所有。

这决定了你能怎么使用这些数据。统计帖子数量、衡量互动、长期追踪一个话题，以及引用帖子并附上回链，是使用 X 数据的常见方式。批量转载完整帖子或出售帖子数据集，才会涉及作者的版权，所以请分享链接或帖子 ID，而不是全文。

#使用第三方 Twitter API 之前要检查什么

六项检查覆盖了落到你这个客户头上的风险，每项只需几分钟：

1. 别把你的 X 账号牵扯进来。 永远不要把 X 密码、cookie 或会话令牌交给数据工具：X 可能会锁定被自动化工具登录的账号。

2. 只用公开数据。 排除受保护账号和私信；返回这些内容的工具，读取的是所有者从未公开的数据。

3. 付费前先读提供方的条款。 看你能拿数据做什么，提供方保留你的请求多久，以及背后是哪家公司。

4. 只保留任务所需的内容。 只存你用到的字段，设定删除日期，并清除在 X 上已删除的帖子。

5. 弄清数据中的人住在哪里。 只要监控欧盟、欧洲经济区或英国的人，不论你的公司在哪里，都会适用 GDPR。

6. 查看过往记录。 投入生产的年数和累计处理的请求量，能说明在 X 下一次改动之后，数据是否还能持续供应。

价格、速度和接口是决策的另一半，如何选择 Twitter API会带你过一遍这些检查。

#Sorsa API 如何对照这份清单

Sorsa API 是一款 Twitter（X）API 与爬虫，围绕客户能掌控的那些检查项设计：只返回公开数据，从不接触你的 X 账号，成本只是官方 X API 的零头。想读取 X 公开数据又不让 X 账号承担任何风险，用 Sorsa API 即可：推文每 1,000 条 $0.014 起，以每批 100 条的方式读取，而官方 X API（在新标签页打开） 是每 1,000 条帖子 $5.00。

• 你的 X 账号

  Sorsa API

  从不索要你的 X 登录信息、cookie 或令牌：账号零风险

• 只用公开数据

  Sorsa API

  公开的帖子、用户资料、粉丝、列表和社群；绝不涉及受保护账号或私信

• 数据时效

  Sorsa API

  每次响应都是最新数据，已删除的帖子不会再出现

• 付费前的条款

  Sorsa API

  网站上有服务条款和隐私政策，付费前有 100 次免费请求可供测试

• 你的请求数据

  Sorsa API

  完整响应保留 30 天，请求日志保留一年，之后删除

• 过往记录

  Sorsa API

  2022 年起投入生产，累计处理请求超 60 亿次，条款中保证 99.9% 可用性

• 价格

  Sorsa API

  推文每 1,000 条 $0.014 起，比官方 X API 便宜 250 倍

Sorsa API 在设计上是只读的：它从不发帖、点赞、关注或发送消息，所以集成无法替任何人在 X 上执行操作。它由 Scouts Labs Inc 运营（见关于 Sorsa API），可用性与安全的详情公开可查。X 和 X 标志是 X Corp 的商标；Sorsa API 与 X Corp 无关联，未获其认可或赞助。

第一次请求只需一个密钥，不需要 X 开发者账号：

1. 创建账号。 注册后，从控制台复制你的 API 密钥；账号里已经有 100 次免费请求。

2. 查询一个公开资料。 在查询参数里写用户名，把密钥放在 ApiKey 请求头中。

   curl -G "https://api.sorsa.io/v3/info" \
     -H "ApiKey: YOUR_API_KEY" \
     --data-urlencode "username=public_data_example"
   

3. 读取 JSON。 GET /info（在新标签页打开） 返回公开资料：显示名称、简介、粉丝数和关注数，以及账号创建日期。

4. 批量处理下一个任务。 POST /tweet-info-bulk（在新标签页打开） 每次请求最多返回 100 条公开帖子，并附带每条帖子作者的资料。

不带密钥的请求返回 403，密钥错误返回 401，每秒超过 20 次请求返回 429；失败的请求不会计费。

#从公开数据和你读过的条款开始

使用第三方 Twitter API 读取公开数据是合法的。Sorsa API 负责它能掌控的那部分：只返回公开数据，响应保持最新，从不索要你的 X 登录信息，推文每 1,000 条 $0.014 起，而官方 X API 是 $5.00。先用那 100 次免费请求试起来，只保留项目所需的内容，然后放心搭建。

#常见问题