SecurityAPI KeyBest Practice
AI API 安全最佳实践：密钥管理、请求验证与数据保护
在生产环境中使用 AI API 涉及密钥安全、请求验证和数据保护问题。本文介绍完整的安全实践。
密钥管理
API Key 必须保存在服务器环境变量或密钥管理服务（如 AWS Secrets Manager、HashiCorp Vault）中，绝对不能硬编码或放在前端代码里。
服务端代理
前端不直接调用 AI API，而是通过自己的后端服务代理。这样可以：隐藏真实 API Key、控制调用权限、过滤恶意请求、添加缓存。
请求验证
在代理服务中验证每个 AI API 请求：来源验证（签名或 JWT）、内容过滤（防止 Prompt 注入）、频率限制（防止滥用）。
Prompt 注入防护
用户输入可能包含恶意 Prompt 注入（如 '忽略之前的指令...'）。在转发用户输入前做内容过滤，或在 system prompt 中明确模型行为边界。
数据合规
向 API 发送的用户数据可能被模型厂商存储。敏感场景下使用脱敏数据，或确认厂商的数据处理政策符合你的合规要求。