如何验证API密钥是否由其所有者使用？

Question

我想为我的网站构建一个非常简单的API，我通过sha1（PHP）生成一个API密钥：

sha1(microtime(true).mt_rand(10000,90000));

所有者通过URL使用此密钥和一个特定值发送请求。 如何确保此密钥由他使用而不是由其他人使用？ 顺便说一句，使用实际APIkey通过URL发送请求是否安全？它不能泄露或什么？