凭证不应该出现在模型prompt里，而应放在受保护的host或server环境中；host可能持有授权token，后端服务自己保管数据库凭证。