「API 密钥」标签下共 21 篇技术文章。按发布时间倒序排列，内容持续更新。
API 密钥泄露的本质是密钥所携带的权限被完整继承，而不只是密钥被看到。防护重点是缩短凭据有效期、缩小权限范围、把注入点从代码移到运行环境，并预先准备好泄露后的吊销与轮换流程。前端不应保存长期密钥，长期令牌应优先改为短期凭据交换。A…
小程序和 H5 都不应该直连第三方 API。正确做法是把请求收敛到自有后端或云函数中转，密钥只留在服务端，域名白名单、超时重试、限流和监控都在中转层一次做完，前端只接收业务字段。
API 密钥安全的核心是假设它一定会泄露，让泄露代价可控：密钥只由服务端持有，按环境和用途拆分，绑定白名单与配额，日志脱敏、定期轮换，泄露后几分钟内可吊销，这样一次失守只是运维事件，而不是事故。
共 21 篇文章，第 3 / 3 页