API Key 就像一张能扣费的通行证。你要做的不是把它藏在心里，而是把权限、预算、日志和撤销流程都准备好。

官方入口#

• OpenAI Platform

先看结论#

• Key 只放服务端环境变量。
• 每个项目单独建 Key，方便回收。
• 先设低预算，跑通后再提高。
• 上线后看日志和异常请求。

具体怎么做#

1. 为项目单独创建 API Key。
2. 在平台设置月度预算、速率限制或消费提醒。
3. 把 Key 配到 Cloudflare、Vercel 或服务器环境变量里。
4. 发现异常调用时，先禁用 Key，再查日志。

常见卡点#

• 本地 .env 文件不要提交到 Git。
• 浏览器控制台能看到的 Key 已经算泄露。
• 多个项目共用一个 Key 时很难查是谁在花钱。

不建议做什么#

• 不要把 Key 写进前端 JS。
• 不要用主账号 Key 给别人测试。
• 不要用没有账单提醒的 API 服务。

本文仅为经验整理，不提供盗版、破解、欺诈、黑卡、盗刷、违规账号买卖或绕过平台规则的服务。涉及支付、订阅、账号和 API 的操作，请以官方规则和当地法律为准。