OpenAI API Key 共享访问 ChatGPT 的合法实践与安全指南

2次阅读

没有评论

共计 2546 个字符，预计需要花费 7 分钟才能阅读完成。

在团队协作开发过程中，我们常常遇到需要共享 OpenAI API Key 的情况。直接共享 API Key 虽然方便，但存在严重的安全隐患：

API Key 可能被滥用，导致费用激增
无法追踪具体使用者和使用情况
违反 OpenAI 的使用条款，可能导致账号被封

针对 API Key 共享问题，主要有三种解决方案：

直接共享
优点：实现简单
缺点：安全性差，无法控制使用情况
QPS：最高（无额外开销）
延迟：最低（直接访问）
代理服务
优点：可以控制访问权限，记录使用情况
缺点：需要额外开发维护
QPS：中等（代理层增加少量开销）
延迟：增加约 50-100ms
权限分离方案
优点：安全性最高，细粒度控制
缺点：实现复杂
QPS：较低（权限验证开销大）
延迟：增加约 100-200ms

以下是使用 Flask 搭建代理服务的完整实现代码，包含 JWT 鉴权、请求日志和限流功能：

from flask import Flask, request, jsonify
from functools import wraps
import jwt
import requests
import time
from collections import defaultdict
from typing import Dict, Tuple

app = Flask(__name__)

# 配置项
API_KEY = "your_openai_api_key"
JWT_SECRET = "your_jwt_secret"
RATE_LIMIT = 5  # 每分钟最多 5 次请求

# 请求计数器
request_counts = defaultdict(int)
last_reset = time.time()


def rate_limit(f):
    @wraps(f)
    def decorated(*args, **kwargs):
        global last_reset

        # 每分钟重置计数器
        if time.time() - last_reset > 60:
            request_counts.clear()
            last_reset = time.time()

        client_ip = request.remote_addr
        request_counts[client_ip] += 1

        if request_counts[client_ip] > RATE_LIMIT:
            return jsonify({"error": "Rate limit exceeded"}), 429

        return f(*args, **kwargs)
    return decorated


def jwt_required(f):
    @wraps(f)
    def decorated(*args, **kwargs):
        token = request.headers.get('Authorization')

        if not token:
            return jsonify({"error": "Token is missing"}), 401

        try:
            data = jwt.decode(token.split()[1], JWT_SECRET, algorithms=["HS256"])
            request.user = data
        except Exception as e:
            return jsonify({"error": "Invalid token"}), 401

        return f(*args, **kwargs)
    return decorated


@app.route('/chat', methods=['POST'])
@jwt_required
@rate_limit
def chat_proxy():
    try:
        data = request.get_json()

        # 记录请求日志
        app.logger.info(f"User {request.user.get('user_id')} made request: {data}")

        headers = {"Authorization": f"Bearer {API_KEY}",
            "Content-Type": "application/json"
        }

        response = requests.post(
            "https://api.openai.com/v1/chat/completions",
            json=data,
            headers=headers
        )

        return jsonify(response.json()), response.status_code
    except Exception as e:
        return jsonify({"error": str(e)}), 500


if __name__ == '__main__':
    app.run(port=5000)

以下是代理服务的架构流程图：

flowchart TD
    A[客户端] -->|JWT Token| B[代理服务]
    B -->| 验证 Token| C{JWT 有效?}
    C -->| 是 | D[检查限流]
    C -->| 否 | E[返回 401 错误]
    D -->| 未超限 | F[转发请求到 OpenAI]
    D -->| 超限 | G[返回 429 错误]
    F --> H[记录日志]
    H --> I[返回响应]

为了确保代理服务的安全性，我们需要考虑以下几个方面：