只在服务端保存
把 Key 放在环境变量、容器 secret 或密钥管理系统中，不写进前端 JavaScript、移动端包和公开仓库。
API Key 的最小安全基线
按项目隔离
开发、测试和生产使用不同 Key；团队成员与自动化任务也应分开，便于审计和撤销。
限制损失范围
为 Key 设置合理额度、可用模型和有效期；控制台支持哪些限制，以当前令牌设置项为准。
定期轮换
先发布新 Key、验证成功，再撤销旧 Key，避免轮换导致业务中断。
日志与报错如何脱敏
- Authorization、x-api-key、Cookie 和完整请求正文默认不写入应用日志。
- 排错时提供 request id、时间、模型、分组和状态码，不发送完整 Key。
- 发现 Key 出现在 Git、工单、聊天记录或浏览器代码中，应立即撤销并重建。
- CI/CD 中使用受保护变量，并限制只有部署任务可以读取。
客户端直连的风险
桌面客户端如果只能明文保存 Key，设备上的其他用户或恶意软件可能读取它。重要业务应由自己的后端持有 Key，并在后端实现用户鉴权、速率限制、预算和审计。
常见问题
API Key 泄露后只删除代码够吗？
不够。历史提交、缓存和日志可能仍有副本，应立即撤销 Key 并创建新 Key。
可以在浏览器直接调用吗？
不建议。浏览器代码和网络请求会暴露 Key，应通过自己的后端调用。