Claude API密钥管理实战：如何安全修改Token并避免服务中断

1次阅读

共计 2391 个字符，预计需要花费 6 分钟才能阅读完成。

在开发过程中，API 密钥泄露是一个常见但严重的安全隐患。以下是几种典型的泄露场景：

Git 提交泄露：开发者在提交代码时忘记移除硬编码的 API 密钥
日志打印：调试信息中意外打印了完整的 API 密钥
中间人攻击：未加密的 HTTP 请求被拦截
配置管理不当：密钥存储在明文配置文件中

这些情况都可能导致未经授权的访问，甚至造成数据泄露。因此，实现动态密钥管理变得至关重要。

方案	优点	缺点	TPS	延迟 (ms)
Claude 原生 Token	简单易用，无需额外服务	缺乏自动轮换机制	5000	50-100
AWS KMS	支持自动轮换，高安全性	需要额外配置，成本较高	10000	20-50
HashiCorp Vault	精细的访问控制，审计日志	维护复杂度高	8000	30-70

生成新密钥并存储在密钥管理系统中
为新密钥分配一个版本号
在系统中同时保留新旧密钥
逐步将客户端切换到新密钥
监控旧密钥的使用情况
确认无旧密钥使用后，安全删除旧密钥

import requests
import time
import hashlib
import hmac
from typing import Optional, Dict

def generate_hmac_signature(
    secret: str, 
    data: str, 
    timestamp: str
) -> str:
    """
    生成 HMAC 签名
    :param secret: API 密钥
    :param data: 请求数据
    :param timestamp: 时间戳
    :return: 签名字符串
    """message = f"{data}{timestamp}".encode('utf-8')
    return hmac.new(secret.encode('utf-8'), 
        message, 
        hashlib.sha256
    ).hexdigest()

class ClaudeAPIClient:
    def __init__(self, primary_key: str, secondary_key: Optional[str] = None):
        self.primary_key = primary_key
        self.secondary_key = secondary_key
        self.retry_count = 0
        self.max_retries = 3

    def make_request(
        self, 
        method: str, 
        endpoint: str, 
        data: Dict
    ) -> requests.Response:
        """发送 API 请求，支持密钥自动切换"""
        timestamp = str(int(time.time()))
        headers = {
            "X-Timestamp": timestamp,
            "Content-Type": "application/json"
        }

        # 首先尝试主密钥
        signature = generate_hmac_signature(
            self.primary_key, 
            str(data), 
            timestamp
        )
        headers["X-Signature"] = signature

        try:
            response = requests.request(
                method,
                f"https://api.claude.ai/{endpoint}",
                json=data,
                headers=headers
            )

            # 处理 401 未授权错误
            if response.status_code == 401 and self.secondary_key:
                return self._retry_with_secondary_key(method, endpoint, data, timestamp)

            return response

        except requests.exceptions.RequestException as e:
            if self.retry_count < self.max_retries:
                self.retry_count += 1
                time.sleep(1)
                return self.make_request(method, endpoint, data)
            raise

    def _retry_with_secondary_key(
        self, 
        method: str, 
        endpoint: str, 
        data: Dict, 
        timestamp: str
    ) -> requests.Response:
        """使用备用密钥重试请求"""
        signature = generate_hmac_signature(
            self.secondary_key, 
            str(data), 
            timestamp
        )
        headers = {
            "X-Timestamp": timestamp,
            "X-Signature": signature,
            "Content-Type": "application/json"
        }

        return requests.request(
            method,
            f"https://api.claude.ai/{endpoint}",
            json=data,
            headers=headers
        )