可逆 token 替换的安全前提是映射表只存在于代理内部，多租户场景下每个 API key 对应独立映射空间以避免租户间数据交叉。