資安詞條 6-25

金鑰保管API Key Safety

也常叫做：API Key（直接用英文）、金鑰、密鑰

你可能會這樣說

網站要串接第三方服務，需要一組 API 金鑰。AI 說「貼給我幫你設定」。這串字如果外流了，會發生什麼事？

API 金鑰是你的網站跟別的服務之間的通行證，誰拿到它，誰就能用你的名義和額度做事。外流等於把家裡鑰匙插在門上。

三條鐵則：金鑰不寫進程式碼、不貼進對話、不放上公開網頁。正確做法是放進「環境變數」這種設定檔，並且確保它不會被提交進 Git。

如果真的外流，到原服務的後台立刻作廢重發一組，越快越好。平常也可以請 AI 幫你檢查專案裡有沒有不小心藏著金鑰。

✕ 寫死在程式碼金鑰直接寫在檔案裡
API_KEY = "sk-live-9f3kx8…"
提交 → 推上 GitHub → 掃描機器人幾分鐘內就會找到它

✓ 放進環境變數金鑰放環境變數
API_KEY = 從設定讀取
程式碼裡只有變數名稱，真身另外收好
就算原始碼外流，鑰匙也不跟著走

三條鐵則：不寫進程式碼、不貼進對話、不放上公開網頁。萬一外流——先去原服務後台作廢重發。

圖 6-25　同一把鑰匙：插在門上 vs 收進口袋。

中文就可以

幫我檢查這個專案有沒有把金鑰直接寫在程式碼裡。
有的話，教我把金鑰搬進環境變數，並確認它不會被提交進 Git。
之後需要金鑰時，請指引我放到正確的位置，而不是叫我把金鑰貼到對話裡。
最後給我一份「金鑰外流怎麼辦」的緊急步驟，存起來備用。