AI API Key 安全管理教程：环境变量、权限和轮换

用 python-dotenv 加载：

from dotenv import load_dotenv
load_dotenv()  # 自动加载 .env 文件
import os
client = OpenAI(api_key=os.environ["OPENAI_API_KEY"])

第三步：限制 Key 的权限

大多数 AI 平台支持创建不同权限的 Key：

• 开发环境用权限受限的 Key
• 生产环境用独立的 Key
• 永远不要用管理权限的 Key 做 API 调用

第四步：设置消费限额

在 OpenAI Console 和 Anthropic Console 中设置消费限额：

• 设置月度预算上限
• 设置单次调用 token 上限
• 开启消费告警

这样即使 Key 泄露，损失也是有限的。

第五步：密钥轮换

定期更换 API Key：

# 轮换策略：支持新旧 Key 并存
class KeyManager:
    def __init__(self):
        self.current_key = os.environ["OPENAI_API_KEY"]
        self.backup_key = os.environ.get("OPENAI_API_KEY_BACKUP")
    def get_client(self) -> OpenAI:
        return OpenAI(api_key=self.current_key)
    def rotate(self):
        """轮换到备份 Key"""
        self.current_key, self.backup_key = self.backup_key, self.current_key

轮换步骤：

• 创建新的 Key
• 更新环境变量（新 Key 为主，旧 Key 为备份）
• 验证新 Key 正常工作
• 等待一段时间后删除旧 Key

第六步：检测泄露

在 CI/CD 中加入 Key 泄露检测：

# 使用 trufflehog 检测代码中的密钥
pip install trufflehog
trufflehog git file://. --only-verified

或用 GitHub 的 Secret Scanning 功能（自动检测仓库中的密钥）。

团队协作方案

方案一：每人自己的 Key

最简单——每人去平台申请自己的 Key，本地配置 .env。

方案二：密钥管理服务

用专门的服务管理密钥：

# 使用 AWS Secrets Manager
import boto3
def get_secret(secret_name: str) -> str:
    client = boto3.client("secretsmanager")
    response = client.get_secret_value(SecretId=secret_name)
    return response["SecretString"]
api_key = get_secret("prod/openai-api-key")

方案三：CI/CD 环境变量

在 GitHub Actions、GitLab CI 等平台中配置 Secret：

# GitHub Actions
env:
  OPENAI_API_KEY: ${{ secrets.OPENAI_API_KEY }}

公共网络环境的安全建议

在咖啡厅、机场等公共 Wi-Fi 环境下开发时：

• 使用 HTTPS 而非 HTTP 调用 API
• 避免在公共网络下传输 API Key
• 考虑使用加密连接保护数据传输安全

> 在公共网络环境下，建议使用加密连接保护你的 API Key 和账号安全。请遵守您所在地的法律法规和服务条款。

常见问题与排错

环境变量读取为空

Key 被平台封禁

进阶学习

• 想了解 OpenAI API？看 OpenAI API 教程
• 想了解 Claude API？看 Claude API 教程
• 想了解工具调用中的安全问题？看 Function Calling 教程
• 想了解海外服务的账号安全？看海外 AI 服务账号安全指南

总结

• 永远不要把 API Key 硬编码在代码里
• 用 .env + .gitignore 管理本地密钥
• 限制 Key 权限，设置消费限额
• 定期轮换 Key，检测泄露
• 团队协作用密钥管理服务

---