ChatGPT权限管理实战：从原理到API安全控制

1次阅读

共计 2418 个字符，预计需要花费 7 分钟才能阅读完成。

最近在用 ChatGPT API 开发项目时，发现直接把 API Key 写死在代码里简直是在玩火。上周同事不小心把包含密钥的代码上传到 GitHub，差点引发安全事故。这让我意识到，ChatGPT 这类 AI 服务的权限管理需要更专业的解决方案。

常见的安全隐患包括：

密钥硬编码 ：API Key 直接暴露在客户端或代码仓库中
权限滥用 ：一个密钥通吃所有功能，无法区分不同用户权限
缺乏审计 ：无法追溯具体是谁在什么时候调用了什么接口

传统 API Key 方案
优点：实现简单，适合快速原型开发
缺点：密钥泄露风险高，权限控制粗粒度
OAuth 2.0 + RBAC 方案
优点：支持细粒度权限控制，令牌可撤销
缺点：实现复杂度较高，需要额外基础设施

最终选择 OAuth 2.0 + JWT + RBAC 的组合方案，既能满足安全需求，又能保持较好的扩展性。

JWT 令牌包含三部分：

Header：指定算法（如 HS256 或 RS256）
Payload：包含用户 ID、角色、权限 scope 等声明
Signature：防篡改签名

关键设计点：

使用 RS256 非对称加密，避免密钥泄露
设置合理的过期时间（建议 1 - 2 小时）
包含必要的声明（iss, sub, aud, exp 等）

# config.py
import os
from datetime import timedelta

class Config:
    SECRET_KEY = os.getenv('SECRET_KEY', 'your-256-bit-secret')
    JWT_ALGORITHM = 'RS256'
    JWT_EXPIRATION = timedelta(hours=1)
    PRIVATE_KEY = open('private.pem').read()
    PUBLIC_KEY = open('public.pem').read()

# auth.py
from functools import wraps
from flask import request, jsonify
import jwt
from config import Config

def permission_required(permission):
    def decorator(f):
        @wraps(f)
        def wrapper(*args, **kwargs):
            token = request.headers.get('Authorization')
            if not token:
                return jsonify({'error': 'Missing token'}), 401

            try:
                payload = jwt.decode(
                    token,
                    Config.PUBLIC_KEY,
                    algorithms=[Config.JWT_ALGORITHM]
                )

                if permission not in payload.get('scope', []):
                    return jsonify({'error': 'Insufficient permissions'}), 403

                # 记录审计日志
                log_audit(payload['sub'], request.path)

            except jwt.ExpiredSignatureError:
                return jsonify({'error': 'Token expired'}), 401
            except jwt.InvalidTokenError:
                return jsonify({'error': 'Invalid token'}), 401

            return f(*args, **kwargs)
        return wrapper
    return decorator

# routes.py
from flask import Blueprint, jsonify
from auth import permission_required

api = Blueprint('api', __name__)

@api.route('/admin', methods=['GET'])
@permission_required('admin')
def admin_panel():
    return jsonify({'message': 'Welcome Admin'})

@api.route('/user', methods=['GET'])
@permission_required('user')
def user_panel():
    return jsonify({'message': 'Welcome User'})

使用密钥管理系统（如 AWS KMS）
实现自动轮换（建议每月更新）
不同环境使用不同密钥

from flask_limiter import Limiter
from flask_limiter.util import get_remote_address

limiter = Limiter(
    app,
    key_func=get_remote_address,
    default_limits=["200 per day", "50 per hour"]
)

对敏感操作（如删除、修改配置）要求：