保护 API 密钥
保护凭据
保护 API 密钥 是 CoddyKit 上的免费 Cyber Security Academy 课时。 这是第 4 节课，共 4 节。 你可以在下方免费阅读本课时的完整内容 — 然后在浏览器中使用内置代码编辑器和全天候 AI 导师进行实践。 这是 Cyber Security Academy 学习路径的一部分，你的进度在网页和 CoddyKit 应用中同步。 Cyber Security Academy 课程共包含 4 节课。
什么是应用程序接口密钥
应用程序接口密钥是一段用于识别客户端并授权其调用应用程序接口的机密字符串。
持有该密钥的任何人都可以以该客户端的身份执行操作，因此必须妥善保管密钥。
密钥就像密码
请像保护密码一样谨慎地保护应用程序接口密钥。
泄露的密钥会让攻击者发出请求、增加成本并访问数据，同时看起来仍像是可信客户端。
切勿将密钥硬编码
一个常见错误是直接将密钥写入代码：
const apiKey = "sk_live_abc123"这样一来，密钥就会出现在代码库和历史记录中，任何有访问权限的人都可以读取它。
使用环境变量
请将密钥放在代码之外的环境变量中。
const apiKey = process.env.API_KEY机密保存在环境中，而不是源文件中。
不要将密钥提交到 Git
将机密文件添加到.gitignore，这样它们就不会被提交：
.env
*.key如果密钥曾经被提交过，仅仅事后删除还不够；必须轮换密钥。
密钥应保存在服务器上
切勿将机密密钥嵌入前端或移动端代码。
任何人都可以检查应用并提取密钥。请将机密密钥保存在服务器上，并从服务器调用第三方应用程序接口。
使用机密管理器
在生产环境中，请将密钥存储在专用的机密管理器中。
Vault 或云端机密服务等工具可以加密密钥、控制访问权限，并记录读取密钥的人员。
权限范围与最小权限
仅向每个密钥授予其所需的权限。
即使只读密钥泄露，也无法删除数据。限定权限范围可以限制任何单个密钥遭到泄露后造成的损害。
定期轮换密钥
密钥轮换是指按计划替换密钥，并在怀疑密钥泄露后立即替换。
短期密钥可以缩短被盗密钥对攻击者保持有效的时间。
限制并监控
进一步锁定密钥，只允许特定 IP 或域名使用它们。
然后监控使用情况。异常流量或新的位置可能表明密钥已被盗。
应对密钥泄露
如果密钥泄露，请迅速采取行动：
- 立即撤销旧密钥
- 签发新密钥
- 检查日志以查找滥用行为
处理得越快，泄露机密可能造成的损害就越小。
快速检查
生产环境中的 Web 应用应将机密应用程序接口密钥存储在哪里？
回顾
请像保护密码一样保护应用程序接口密钥：不要将其放入代码或 Git，存储在环境变量或机密管理器中，按最小权限限定其范围，定期轮换，限制并监控使用情况，并迅速撤销任何泄露的密钥。
常见问题解答
「保护 API 密钥」课时是免费的吗？
是的 — 「保护 API 密钥」的完整文本可在网页上免费阅读。要进行交互式练习（内置代码编辑器和全天候 AI 导师）并解锁 Cyber Security Academy 课程的其余内容，请升级到 CoddyKit PRO。 Cyber Security Academy 课程共包含 4 节课。
「保护 API 密钥」这节课中我会学到什么？
保护凭据 你通过在浏览器中直接运行的动手代码来练习 Cyber Security Academy，全天候 AI 导师会在你学习这节课的过程中回答你的问题。
学习 Cyber Security Academy 需要有经验吗？
无需任何先前经验。CoddyKit 上的 Cyber Security Academy 课程适合初学者到高级学习者，你可以从这里开始或从头开始，按照自己的节奏学习。 这是第 4 节课，共 4 节。
「保护 API 密钥」课时需要多长时间？
大多数 CoddyKit 课程大约需要 5–10 分钟。每节课都很精短且互动，所以你能稳步进步，并在网页和应用中从离开的地方继续。
我能在这节 Cyber Security Academy 课中编写并运行代码吗？
能。每节 Cyber Security Academy 课都包含内置代码编辑器，你可以在浏览器中直接编写并运行真实代码，并获得即时 AI 反馈 — 无需本地设置。