API Key 安全指南

推荐做法

• 每个工具使用独立 Key；
• Key 放在环境变量或密码管理器中；
• 把 .env 加入 .gitignore；
• 测试 Key 设置小额度和短有效期；
• 截图前检查输入框、终端历史和日志。

不要这样做

• 不要放进浏览器前端 JavaScript；
• 不要提交到公开 GitHub；
• 不要把完整 Key 发给客服；
• 不要把 Key 写在公开教程或录屏中；
• 不要让多个陌生设备共用同一个 Key。

API Key 泄露怎么办

1. 立即进入控制台「令牌」；
2. 禁用或删除泄露的 Key；
3. 创建新 Key，并更新使用它的工具；
4. 查看调用日志和消费记录是否有异常；
5. 记录异常请求的时间、模型和 Request ID；
6. 联系 ruokeinc@gmail.com，只提供打码 Key。

不要先等客服回复

停用泄露 Key 是第一步。只改本地配置、删除聊天消息或清理 Git 提交，不能让已经泄露的 Key 自动失效。