API Key 安全
AI API Key 安全实践清单
API Key 是调用权限凭证，不是普通配置文本。只要密钥出现在浏览器代码、公开仓库、日志、工单截图或聊天记录中，就可能被非预期人员使用。安全实践的目标是：即使一把密钥泄露，也能快速定位、撤销并将影响限制在最小范围。
从创建开始：一把密钥只服务一个用途
为本地开发、测试环境、生产服务和自动化任务分别创建密钥，不要让团队长期共享同一把。密钥名称应能说明所属系统和环境，例如“web-backend-production”而非“new-key”。当发现异常用量或服务故障时，这种划分能帮助快速判断影响范围。
正确保存：只放在服务端受控环境
浏览器前端、移动端应用和公开静态页面都不适合存放真实密钥，因为用户可以查看其代码或网络请求。将密钥放在服务端环境变量、部署平台的密钥配置或经过权限控制的密钥管理系统中。开发时使用本地未提交的环境文件，并确认该文件已被版本控制忽略。
避免最常见的四类泄露
- 提交到 Git：提交前检查配置文件、示例文件和历史记录，示例只保留变量名，不填写真实值。
- 写进前端：浏览器请求应发送到你的后端，由后端安全地调用模型 API。
- 出现在日志：日志中只记录密钥的脱敏标识，不记录完整 Authorization 请求头或请求体中的敏感字段。
- 分享截图：排障截图、演示录屏和工单附件发送前，应检查控制台密钥、环境变量和终端输出。
为每个环境设置明确边界
测试密钥的额度和权限应与生产密钥区分。生产密钥只分配给真正需要调用的服务账号，人员调试优先使用短期或独立测试密钥。团队成员离职、服务下线或集成停止使用时，应在交接清单中包含撤销相应密钥。
建立轮换与应急流程
密钥轮换不应等到发生事故才进行。先让应用支持从受控配置读取新旧两把密钥，验证新密钥工作正常后，再撤销旧密钥。若怀疑密钥已经暴露，应立即在控制台禁用或删除该密钥，创建替代密钥，检查相关调用记录，并排查泄露来源；不要仅修改代码后继续保留原密钥。
上线前安全检查
- 密钥是否只存在于后端受控环境？
- 测试与生产是否使用不同密钥？
- 日志、错误上报和截图是否经过脱敏？
- 服务是否设置超时、用量监控和异常告警？
- 是否知道发现泄露后由谁撤销、谁替换、谁验证？
在龙华智元中，可通过控制台创建和管理 API 密钥。完成安全配置后，按快速接入发起最小调用；对不同模型的选择，可参考多模型决策框架。