API Key
AI服务访问凭证，基于HTTP请求头的鉴权机制，附加在Authorization字段中，用于验证请求合法性及账号额度
核心事实
时间轴 (近 90 天)
大多数AI编程助手配置自定义模型供应商时只需要三个核心信息：Base URL、API Key（放在Authorization Bearer头中）和Model ID（model字段）。
API Key 泄露后必须到服务商后台手动吊销重建；访问令牌可以通过撤销授权端点使其立即失效。
API Key 通常是长期有效的静态字符串，用于标识调用方身份并计费，很多服务商不支持细粒度作用域；访问令牌则往往带有过期时间、作用域和可撤销性。
API Key 泄露后，仅新建密钥不会使旧密钥失效，旧密钥在提供商侧依然有效，直到被显式吊销。
在沙箱执行流程中，模型提供商的 API Key 和沙箱管理密钥必须保留在后端，绝不能传入沙箱。
API Key 直接写在前端代码里，任何访问者都能通过浏览器开发者工具看到，存在被盗刷风险，正式上线时应挪到服务端。
API Key 拥有账户操作权限，不应提交到代码仓库，建议通过环境变量文件统一管理。
传统架构中Agent拥有API Key、想花多少花多少，与预算信封机制形成鲜明对比。
若所有请求共用一个API Key且无统一调用网关或打标机制，账单将无法归因到具体业务
API Key 通常只在创建时完整显示一次，务必及时保存
还有 40 条时间轴事件
全部知识事实 (20)
DeepSeek API Key创建后只显示一次，之后无法再查看
80%已验证将API Key以环境变量形式存储而非硬编码在代码中是出于安全考虑的最佳实践
75%已验证API Key一旦泄露，攻击者即可在全球任何地点以密钥持有者身份无限制调用API，服务器无法区分正当调用与盗用调用
70%已验证OpenAI、Anthropic等公司的API服务采用基于API Key的身份验证机制，每个Key与特定账号绑定并受速率限制约束
70%已验证API Key不应硬编码在代码中并推送至公开代码仓库如GitHub
70%已验证WorkBuddy内置连接器机制，通过API授权（OAuth协议）与目标软件数据层对接，例如通过企业微信开放平台API读取消息和发送回复，而非模拟屏幕点击
65%已验证DeepSeek的API Key创建后会被隐藏，必须在生成时立即复制保存
65%已验证BYOK 模式下 API 密钥以明文存储于本地配置文件中，存在密钥泄露的安全风险
65%已验证API Key 一旦泄露他人即可消费你的账户，切勿硬编码后提交到公开代码仓库
65%待验证使用第三方AI工具管理平台时，优质工具应将API Key加密存储在本地（如使用系统Keychain），而非上传至云端服务器
85%待验证API Key在设计上没有失效概念，一次生成长期有效；而Token有失效时间，过期后需重新登录获取
60%待验证API Key是调用AI服务时用于身份验证的字符串凭证，每次请求时附在请求头中，服务端据此识别调用者身份并计算用量与费用
60%待验证使用在线大模型 API 需要申请 API Key，并根据请求返回的 Token 数量进行计费
60%待验证大多数AI编程助手配置自定义模型供应商时只需要三个核心信息：Base URL、API Key（放在Authorization Bearer头中）和Model ID（model字段）。
50%待验证API Key 通常是长期有效的静态字符串，用于标识调用方身份并计费，很多服务商不支持细粒度作用域；访问令牌则往往带有过期时间、作用域和可撤销性。
50%待验证API Key 泄露后必须到服务商后台手动吊销重建；访问令牌可以通过撤销授权端点使其立即失效。
50%待验证API Key 泄露后，仅新建密钥不会使旧密钥失效，旧密钥在提供商侧依然有效，直到被显式吊销。
50%待验证在沙箱执行流程中，模型提供商的 API Key 和沙箱管理密钥必须保留在后端，绝不能传入沙箱。
50%待验证API Key 直接写在前端代码里，任何访问者都能通过浏览器开发者工具看到，存在被盗刷风险，正式上线时应挪到服务端。
50%待验证API Key 拥有账户操作权限，不应提交到代码仓库，建议通过环境变量文件统一管理。
50%