API Key 安全与额度管理

API Key 就像一把钥匙。谁拿到它，谁就可能使用你的额度。所以 API Key 一定要单独管理、谨慎保存。

一、API Key 是什么

API Key 是调用 AI 接口时使用的身份凭证。

它通常长这样：

sk-xxxxxxxxxxxxxxxx

它不是普通账号密码，但作用很接近：别人拿到后可能消耗你的余额。

二、不要做这些事

• 不要把 API Key 发到微信群、QQ群、论坛
• 不要截图发给别人
• 不要写进公开 GitHub 仓库
• 不要写进教程截图里
• 不要把一个 Key 给所有工具混用

三、推荐管理方式

建议每个工具单独创建一个 Key：

工具	推荐 Key 名称
Codex	codex-cli
Claude Code	claude-code
Gemini	gemini
OpenClaw	openclaw
Hermes	hermes
Cursor	cursor

这样如果某个工具不用了，只删除对应 Key 即可。

四、额度管理建议

• 定期查看用量
• 给高频工具单独建 Key
• 发现异常消耗立即禁用 Key
• 不要把强模型当日常闲聊默认模型
• 大任务开始前先让 AI 给计划，减少反复调用

五、密钥泄露怎么办

如果怀疑 API Key 泄露：

1. 立即去后台删除或禁用这个 Key
2. 创建一个新的 Key
3. 更新本地工具配置
4. 检查近期用量
5. 检查 GitHub 仓库里是否提交过密钥

六、配置文件注意事项

常见配置文件：

.env
settings.json
config.yaml

如果这些文件里有真实 API Key，不要提交到公开仓库。

可以在 .gitignore 里忽略：

.env
*.local

七、安全提示词

让 AI 修改项目时，可以加一句：

请不要把任何 API Key、Token、密码写入代码或文档。如果需要示例，请使用占位符。