业界普遍建议将 API 密钥视为密码级别的机密，并在服务端配置用量上限作为兜底。