API Key 是什么？为什么不能直接写进公开网页

API Key 经常用来识别调用某个接口的应用或账户。它不一定等同于登录密码，但泄露后同样可能让别人冒用你的额度或权限。

最常见的错误

把 Key 直接写进前端 JavaScript、截图发到群里，或者提交到公开 Git 仓库。浏览器前端代码对访问者是可见的，所以真正的秘密凭据应该放在服务端或安全的环境变量中。

为什么前端网页藏不住 Key

只要凭据被发送到访问者的浏览器，就不能把它当成真正的秘密。即使代码经过压缩或变量改名，访问者仍然可以检查网络请求和脚本内容。

泄露之后该做什么

优先到服务商后台撤销或轮换旧 Key，再检查调用日志和权限范围。不要只把代码仓库里的那一行删掉，因为已经泄露的凭据可能仍然有效。

一个更安全的网页调用流程

浏览器把用户请求发给自己的服务端；服务端验证请求和使用额度，再用保存在服务端的密钥调用第三方接口，最后只把需要的结果返回浏览器。环境变量本身不是万能保险：只有它不被打包到前端、不写进日志，且部署权限受到控制时，才真正减少泄露风险。

上线前检查密钥权限和用量

能设置权限范围的服务优先使用最小权限；能设置预算、配额和告警的服务应开启相应限制。测试时使用独立凭据，避免用生产环境密钥分享演示项目。如果仓库历史中出现过真实密钥，应视为已暴露并轮换，而不是只修改最新提交。