API Key 一旦泄露可能造成异常请求、额度消耗和账号风险。本文从 Python 项目实践出发整理一套适合个人开发者的 API Key 安全管理方法。为什么 API Key 容易泄露常见原因包括直接写在 Python 源码中提交到了 Git 仓库打印到终端或日志放进前端 JavaScript截图时没有遮挡在错误信息中返回给用户API Key 本质上是访问凭证。只要别人拿到它就可能使用对应的接口权限。因此安全管理应该从代码、日志、仓库和部署环境几个方面同时处理。一、不要把 API Key 写死在代码里不推荐这样写fromopenaiimportOpenAI clientOpenAI(api_keysk-your-real-key,base_urlhttps://your-api-domain.com/v1,)代码一旦上传到 GitHub、发给同事或打包发布Key 就可能被复制出去。更推荐从环境变量读取importosfromopenaiimportOpenAI clientOpenAI(api_keyos.getenv(API_KEY),base_urlos.getenv(BASE_URL),)这样业务代码中不会直接出现真实凭证。二、使用.env管理本地配置本地开发可以使用python-dotenvpipinstallpython-dotenv创建.env文件API_KEYreplace-with-your-key BASE_URLhttps://your-api-domain.com/v1 MODELyour-model-namePython 中读取importosfromdotenvimportload_dotenv load_dotenv()api_keyos.getenv(API_KEY)base_urlos.getenv(BASE_URL)modelos.getenv(MODEL).env只适合放在本地或受保护的部署环境中不能直接提交到公开仓库。三、把.env加入.gitignore在项目根目录创建或修改.gitignore.env .env.* !.env.example同时提供一个脱敏模板# .env.example API_KEYreplace-with-your-key BASE_URLhttps://example.com/v1 MODELyour-model-name这样其他开发者知道需要哪些配置但不会拿到真实 Key。四、日志中不要打印完整 Key不推荐print(fapi_key{api_key})可以只显示前后少量字符defmask_secret(value:str,prefix:int4,suffix:int3)-str:ifnotvalue:returnemptyiflen(value)prefixsuffix:return***returnvalue[:prefix]***value[-suffix:]print(mask_secret(api_key))更稳妥的做法是日志只记录print({api_key_configured:bool(api_key),model:model,})五、不要把 Key 放进前端代码浏览器中的 JavaScript、页面源码和网络请求都可能被用户查看。因此不要这样做constapiKeyyour-real-key;更合理的结构是浏览器前端 → 自己的后端 → AI API由后端保存 API Key前端只调用自己的业务接口。如果是纯本地脚本Key 可以放在本地环境变量中如果是公开网页不能把服务端 Key 直接交给浏览器。六、启动时检查配置但不要泄露配置可以检查 Key 是否存在defvalidate_config(api_key:str,base_url:str,model:str):missing[]ifnotapi_key:missing.append(API_KEY)ifnotbase_url:missing.append(BASE_URL)ifnotmodel:missing.append(MODEL)ifmissing:raiseValueError(缺少配置, .join(missing))这个检查可以尽早发现配置问题但不要把完整配置打印出来。七、发现 Key 泄露后应该怎么处理如果怀疑 Key 已经泄露建议按这个顺序处理立即禁用或删除旧 Key创建新的 Key替换本地和部署环境配置检查 Git 提交记录和日志查看异常请求和用量变化清理公开文件中的敏感内容只删除当前文件还不够。如果 Key 曾经提交到 Git历史提交中可能仍然存在。八、提交前做一次简单扫描可以在提交前搜索常见凭证模式gitgrep-n-Esk-[A-Za-z0-9_-]{10,}|API_KEY|Bearer [A-Za-z0-9._-]--.:!*.lock这不是完整的安全扫描但可以发现一部分明显问题。对于正式项目还可以接入密钥扫描工具并把扫描放到提交钩子或 CI 流程中。九、个人开发者的最小安全清单Key 不写死在源码中.env不提交到仓库提供脱敏的.env.example日志不打印完整凭证前端不保存服务端 Key不把 Key 放入截图和文章发现泄露后立即轮换定期查看异常用量十、结语API Key 安全不需要一开始就搭建复杂系统但几个基础动作一定要做好用环境变量保存配置用.gitignore阻止误提交对日志和错误信息脱敏让后端承担真实 API 调用发现泄露后及时撤销并更换对于 Python AI 项目来说这些做法可以明显降低凭证泄露风险也让项目更适合后续部署和维护。免责声明本文内容仅用于技术交流与经验分享具体安全措施请结合项目实际情况调整。