API Key

API Key 像一张绑定了你信用卡的门禁卡：谁拿到它，谁就能以你的名义调用服务，费用记在你账上。在代码里调用大模型、地图、支付等服务时，一般都需要它。

最常见的事故是把 Key 写死在前端代码里，或提交到了公开的 Git 仓库。前端代码会完整下载到用户浏览器，任何人打开开发者工具都能看到。正确做法是：Key 只放在服务端（后端接口、服务端函数），通过环境变量读取，前端只调用你自己的后端接口。

怀疑泄露时，立刻去服务商后台作废旧 Key、生成新 Key。只从代码里删掉是不够的，Git 历史里还留着。