← Volver a las guías

API Key 防泄漏实战：开发者必做的 8 个动作

先把一个原则记住

API Key 不是“配置项”，而是生产权限。只要它泄漏，别人就可能直接调用你的额度、你的模型权限，甚至把账单打到你头上。想把风险降下来，最有效的方法不是“更小心一点”，而是把密钥从开发流程里系统性移走。

下面这 8 条，都是可以立刻落地的做法。

1. 永远不要把 Key 写进代码仓库

这是最常见，也最容易被忽视的泄漏源。不要把 Key 直接写在前端代码、配置文件、测试脚本、Notebook 里，更不要为了图快临时提交到 Git。哪怕后来删除了，历史提交里也可能还在。

做法：把密钥放到环境变量、秘密管理器或部署平台的受保护变量里。代码里只读 `process.env`、`os.environ` 这类入口，不要硬编码。

2. 给不同环境使用不同密钥

开发、测试、预发、生产必须隔离。很多团队出事，不是因为主密钥直接泄漏，而是测试环境的低权限密钥被忽略了，最后成了入口。

做法：每个环境单独发放密钥，并且限制可调用的模型、域名、额度和来源。就算某个测试 Key 暴露，影响也应当是局部的。

3. 在服务端转发请求，不要让前端直连第三方 API

只要浏览器、App 或小程序能直接看到密钥，它就不再是秘密。前端代码、静态资源、抓包工具、浏览器插件，都可能把它暴露出去。

做法：把调用放在服务端，由你的后端统一转发。前端只拿你自己的接口，不接触上游密钥。这样还能顺手做鉴权、限流、审计和计费控制。

4. 开启密钥轮换，别让一把钥匙用太久

密钥不是“设一次就完了”。存活时间越长，泄漏概率越高，遗留风险也越大。

做法：至少为生产 Key 建立轮换节奏，比如按月或按季度更新。轮换时保留短暂重叠窗口，先发新 Key，再切流量，确认无误后撤销旧 Key。

5. 用最小权限原则限制可见范围

很多平台允许你为密钥设置配额、来源、项目范围或模型范围。别默认全开。一个只需要做文本补全的服务，没有理由拿到更宽的权限。

做法：按项目拆分密钥，按用途拆分权限，按团队拆分归属。谁负责哪个服务，谁持有哪把 Key，账要算清，回收也要清楚。

6. 把日志和错误输出当成高危区域

真实世界里，API Key 常常不是被“偷”走的，而是被日志顺手记下来的。请求头、报错堆栈、调试输出、代理日志、APM 采样，都可能无意间泄漏。

做法：在日志中脱敏 Authorization、api-key、token 这类字段；错误提示不要回显完整请求体；生产环境关闭高噪音调试日志；定期检查可观测平台里有没有敏感字段落库。

7. 把泄漏扫描加入 CI

人会犯错，流水线也会。与其等上线后人工检查，不如在提交阶段就拦住。

做法：给仓库加 secret scanning、pre-commit 检查和 CI 扫描，检测常见密钥格式、私钥片段和高危字符串。发现疑似泄漏时，自动阻断合并，并提醒立即轮换。

8. 选一个既便宜又能降低暴露面的中转方案

如果你同时要接 Claude 和 GPT，又不想把多个官方 Key 分散到不同项目、不同机器、不同团队手里，可以考虑统一走中转层。这样密钥只在服务端保存一次，前端和客户端都不需要知道上游凭证。

59API 就是这种方案：它是 AI API relay，兼容 Claude Code、Codex 和任何 OpenAI SDK，API Base URL 是 https://api.59api.com。你可以用更低的按量成本接入 Claude（Opus / Sonnet / Haiku / Fable）和 GPT 模型，而且是官方质量的原生模型，不是降级版本。对需要频繁调用、又要控制成本的团队来说，这种架构同时减少了 Key 分散存放的问题。

如果你正在重构密钥管理，值得直接把上游调用统一到一个可控入口，再配合环境变量、服务端转发和日志脱敏，把泄漏面压到最低。59API 还有推荐返利，适合需要长期跑量的团队顺手做成本优化。

最后给你一个可执行清单

• 把所有 Key 从代码里移除，只留在环境变量或秘密管理器中。
• 前端不接触上游密钥，统一走服务端代理。
• 开发、测试、生产使用不同 Key，并设置最小权限。
• 日志、监控、报错输出全部做脱敏。
• 在 CI 里加密钥扫描和提交拦截。
• 定期轮换密钥，发现泄漏立即作废。

如果你现在就要减少暴露面、同时压低调用成本，可以先注册 59API，把 Claude 和 GPT 的接入集中到一个统一入口，再逐步补上扫描、轮换和权限控制。

Precios · Docs