ChatGPT API 密钥与 URL 的安全管理与最佳实践

1次阅读

共计 1520 个字符，预计需要花费 4 分钟才能阅读完成。

API 密钥是访问 ChatGPT API 的身份凭证，类似于密码。URL 则是 API 的入口地址，通常类似https://api.openai.com/v1/chat/completions。这两者配合使用，才能让你的应用与 ChatGPT 进行通信。

API 密钥：用于验证你的身份，确保只有授权的应用可以访问 API 服务
API URL：指定了 API 服务的具体端点路径

在开发过程中，我们经常会遇到以下安全隐患：

密钥硬编码在源代码中，导致版本控制系统泄露
密钥被意外提交到公共代码仓库
密钥权限过大，没有做最小权限控制
密钥长期不轮换，增加泄露风险
日志或错误信息中意外打印出密钥

最基础也是最重要的防护措施：

将密钥存储在环境变量中
使用 .env 文件本地开发，但要确保加入.gitignore
生产环境使用系统环境变量或容器环境变量

对于企业级应用，建议使用专业服务：

AWS Secrets Manager
Azure Key Vault
HashiCorp Vault
GCP Secret Manager

这些服务提供密钥的自动轮换、访问审计等高级功能。

为不同应用创建不同 API 密钥
定期审查和撤销不再使用的密钥
设置 IP 白名单限制访问来源

import os
from openai import OpenAI

# 从环境变量获取密钥
api_key = os.getenv('OPENAI_API_KEY')

# 初始化客户端
client = OpenAI(api_key=api_key,)

# 使用示例
response = client.chat.completions.create(
    model="gpt-3.5-turbo",
    messages=[{"role": "user", "content": "你好"}]
)

const {Configuration, OpenAIApi} = require('openai');

// 从环境变量获取配置
const configuration = new Configuration({apiKey: process.env.OPENAI_API_KEY,});

const openai = new OpenAIApi(configuration);

// 使用示例
async function chat() {
  const completion = await openai.createChatCompletion({
    model: "gpt-3.5-turbo",
    messages: [{role: "user", content: "Hello world"}],
  });
  console.log(completion.data.choices[0].message);
}