Key 安全

Key 安全

API Key 一旦泄露，任何拿到它的人都可能以该 Key 的权限发起请求。生产环境应按来源、额度、有效期和模型范围做最小授权。

在哪里配置

登录控制台，打开“API 密钥”，在创建或编辑表单中查看是否提供 IP 白名单、IP 黑名单、总额度和周期限额。每行填写一条 IP 或 CIDR 网段，例如：

保存后检查页面回显的规则。实际生效顺序以当前部署版本为准；不要通过空白值推断限制状态，先查看表单说明。

找到真实出口 IP

服务器看到的是发起请求主机的公网出口地址，不一定是电脑网卡显示的内网地址。可在运行 API 客户端的同一台设备、同一网络路径下查询公网 IP，再与白名单核对。若经过 NAT、VPN、公司代理或云代理，应以最终出口地址为准。

常见场景配法

固定办公出口：将办公公网 IP 加入白名单；家用网络或动态 IP：优先使用专属开发 Key，避免把频繁变化的地址误当固定规则；云服务器：只放行服务器出口，并为本地调试另建 Key。临时阻断可疑来源时，使用黑名单功能并核对地址后保存。

排错

遇到 403 时确认来源 IP、IPv4/IPv6 使用情况、规则格式、Key 是否停用及额度状态。如果修改网络后恢复正常，更新允许的出口地址；不要为了排查而长期清空生产 Key 的白名单。

建议做法

• 不要将 Key 放在前端、移动应用、公开仓库或浏览器存储中。
• 不要把密钥写进日志、Issue、截图或聊天消息。
• 为项目、开发环境和生产环境分别创建 Key。
• 只给 Key 设置业务真正需要的模型、额度和有效期。
• 怀疑泄露时立即停用或删除旧 Key，再重新签发并部署。