API Key 是服务商发给调用方的一串密钥，通常放在 HTTP Header 或 Query 中，用于识别身份、计量用量并施加配额。它简单好用，但也意味着：谁拿到 Key，谁就可能以你的名义调用接口。因此 Key 的生命周期管理与权限最小化，和「能不能调通」同等重要。
安全要点
- 不要把生产 Key 提交到公开仓库或截图外传
- 前端页面避免硬编码可被长期滥用的高权限 Key
- 为开发、测试、生产使用不同 Key，并限制 IP、来源与能力范围
- 定期轮换；发现泄露立即作废并排查账单异常
和 OAuth、JWT 的关系
API Key 偏「服务级身份」；OAuth 更适合「用户授权第三方」；JWT 常用于传递已验证的声明。很多产品会组合使用：用 Key 标识应用，再用 Token 标识用户会话。理解各自职责，能避免把短期 Token 当永久密钥，或把 Key 当用户登录态。
日常运维习惯
把密钥放进环境变量或密钥管理服务，监控异常调用峰值，并为关键接口开启告警。文档中写明轮换流程，比事后救火更省成本。本站相关工具栏可用于调试请求，但密钥本身仍应只在你自己的安全环境中保管。
泄露之后怎么办
立即作废旧密钥并签发新密钥，检查近期调用日志与账单，轮换所有依赖该密钥的服务配置，复盘泄露路径。把应急步骤写进团队手册，比事后口头传达更可靠，也便于值班同事快速处理。