AI API 密钥安全与成本控制
使用独立密钥、额度、有效期、模型限制、IP 白名单与路由策略保护 AI 工作负载并提高成本可追踪性。
AI API Key 应对应一个可管理的工作负载边界，而不是永久代表整个组织。拆分 Key 后，权限、额度、路由、轮换和用量记录都能独立控制，也不必让无关应用共享同一秘密。
Modelflare API Key 可以组合有效期、有限或无限额度、模型限制、IP 白名单与路由策略。这些控制应在创建工作负载时一起设计，而不是只在事故发生后补上。
每个工作负载使用独立 Key
以下边界通常值得拆分：生产 API 与后台任务、开发与 CI、编程 Agent 或本地工具、面向客户的应用、临时协作者，以及高成本批处理任务。
名称应表达环境和用途，例如 prod-support-agent 或 dev-evaluation。清晰名称能让请求记录和轮换决策可读，同时不暴露秘密本身。
不要让秘密进入客户端可见代码
完整 Key 应保存在服务端 Secret Manager 或受保护的环境变量中。不要写入：
- 浏览器 JavaScript 或用户可检查的移动端包；
- 源码、容器镜像、截图或工单；
- 分析事件、错误追踪、Shell History 或应用日志；
- URL、Query String 或带真实值的示例命令。
浏览器应用应通过自己的后端鉴权，由后端持有 Modelflare Key。若凭据可能泄露，创建新 Key、切换流量、确认新记录后撤销旧 Key；正在遭受滥用时应立即撤销。
将额度与有效期视为两个边界
| 控制项 | 主要作用 |
|---|---|
| 有限额度 | 限制该 Key 可归属的总用量 |
| 无限额度 | 不设置 Key 级上限；账号余额与其他策略仍生效 |
| 有效期 | 在指定时间后终止访问 |
| 禁用或撤销 | 立即停止新的访问 |
开发、外包与评估 Key 通常应同时设置有限额度和有效期。生产 Key 可能需要更大或无限的 Key 额度，但仍应独立归因并制定轮换计划。
额度不能替代并发限制和客户端重试控制。突发流量可能快速耗尽余额，重复失败也会创建更多请求。
为用途单一的 Key 限制模型
模型限制可以阻止 Key 请求计划外、不兼容或意外昂贵的模型，并在越权时给出清楚的 403 边界。允许列表应与端点匹配：Key 能看到模型不代表客户端和协议支持其请求格式。长期策略中不要复制容易过期的模型 ID，使用模型与价格核对实时能力。
只在网络路径稳定时配置 IP 规则
IP 白名单会把 Modelflare 观察到的客户端 IP 与 Key 上配置的地址或 CIDR 比较。它适合出口固定的服务端，但下列变化可能造成中断：云服务 NAT 出口改变、请求经过新代理、IPv4 与 IPv6 路径不同、开发者切换网络，或 CIDR 范围配置不当。
启用前应验证真实出口，保留紧急轮换路径，也不要把 IP 白名单当作秘密保护的替代品。
有意选择普通 Key 或 Smart Key
| Key 类型 | 路由行为 | 适合场景 |
|---|---|---|
| 普通 API Key | 一个明确主分组，可配置有序回退分组 | 需要固定路由顺序与分组策略的工作负载 |
| Smart API Key | 按均衡、稳定优先或低价优先策略评估账号可用分组 | 希望自动扩大路由选择范围的工作负载 |
两类 Key 都会继续发送用户请求的模型和协议。路由只选择符合条件的分组，并不保证每个分组支持所有模型和能力。普通 Key 应按顺序实测回退；Smart Key 应用真实的延迟、价格与兼容要求评估。具体机制见可靠的 AI API 路由。
无中断轮换流程
- 创建具有相同目标限制的新 Key。
- 写入应用的秘密管理系统。
- 在不删除旧 Key 的情况下部署新凭据。
- 验证模型访问和一条真实请求。
- 确认新请求记录已经归属于新 Key。
- 从所有部署与自动化任务中移除旧 Key。
- 禁用或删除旧 Key。
- 监控是否仍有请求尝试使用已退役凭据。
这是计划轮换流程；若正在泄露，应优先撤销并接受可控中断。
把 Key 策略连接到成本复盘
按 Key 隔离后，可以在用量日志中比较模型、分组、输入输出用量、状态、重试与成本。有限额度能阻止继续使用，请求记录则解释额度消耗在哪里。可继续阅读 AI API 成本追踪。
API Key 检查清单
- 每个应用、环境或可问责工作负载使用一个 Key。
- 浏览器代码、仓库、日志、URL 与截图中没有秘密。
- 临时或实验用途设置有限额度与有效期。
- 用途单一时限制可访问模型。
- 只对已验证的稳定出口设置 IP 规则。
- 明确普通 Key 的回退顺序，或有意选择 Smart 策略。
- 移除旧 Key 前先验证轮换。
- 每次策略变更后按 Key 查看用量与成本。
常见问题
无限额度是否代表没有任何消费限制？
不是。它只移除 Key 级额度上限，账号余额、模型价格、分组策略、请求限制和其他服务控制仍然有效。
多建几个 Key 能绕过限流吗？
不一定。限制可能作用于账号、模型分组或路由。Key 应用于权限与归因，不应当作未经验证的限流绕过方案。
Key 泄露后只配置 IP 白名单够吗？
不够。网络路径会变化，配置也可能错误。应轮换已经暴露的凭据，并持续保护秘密的存储与部署过程。