为什么平台都不管你 key 泄露？

一、前情提要：API-Key 本质上是“你授权出去的一串凭证”

上一节我们已经讲过：

API-Key 是一把钥匙，谁拿到了就能调用你的接口。

但有一个更关键的点很多人没意识到：

❗️你作为平台方，并不能控制别人怎么用你的钥匙。

二、大厂们真的“不管”你 key 泄露了吗？

我们来看看现实：

• 你在腾讯云控制台生成了一个访问向量数据库的 key；
• 你把这个 key 给到合作方 A 公司；
• A 公司技术把它硬编码进了网页前端；
• 攻击者打开页面，F12 复制走 key；
• 🔥 攻击者开始疯狂调用你的 API；
• ❗️腾讯云啥也没拦你、也没报警、也没提示；

你就会疑惑：

“为啥他们不管？不是他们平台的接口吗？”

三、揭开真相：你泄露 key，是你的事，不是平台的锅

✅ 这是平台设计的核心原则：

“你申请的 key，你使用的行为，你自己负责。”

四、平台不是“审判者”，它只是“看钥匙验门牌”

从平台视角看，请求流程如下：

- 客户端发起请求
- 请求头中包含 key
- 平台查找 key → 是否存在？是否有效？
- ✅ 有效，就放行
- ❌ 无效，就拒绝

平台不会做这些事：

• ❌ 判断你是不是“合法本人”
• ❌ 检查你是不是“手滑泄露”
• ❌ 给你打电话提示“你 key 被用了”

五、为什么大厂都这样做？三个根本原因：

1️⃣ 降低复杂度，简化平台架构

如果每次调用平台都要判断“调用者是不是你本尊”，接口会非常复杂：

• 每个请求都要实名验证？ → 不现实
• 每个 key 都要鉴别来源？ → 成本太高
• 每个异常都发报警？ → 误报严重，客户抱怨更多

✅ 所以他们干脆就把“怎么用 key”的责任交给你。

2️⃣ 通用场景过于多样，平台无法统一策略

平台根本无法“判断哪种是合理的、哪种是异常的”。

3️⃣ 风控是“可选服务”，不是“主动义务”

大厂平台的风控功能（限速、限额、白名单）本质是：

你来配置，我才给你守门；你不配，那就你自负后果。

腾讯云控制台、OpenAI dashboard 都给了你风控工具，但不会默认开启强限制。

六、那我是不是平台就完全不用负责了？

你是平台方，就真的可以甩锅了吗？

也不能太绝对，⚠️以下几种情况，你依然有责任：

所以即使“泄露不是你的锅”，你也得把平台做得“抗风险”，这才叫专业平台。

七、平台方应该如何明确边界责任？

你平台应该做到这些：

八、你的 key 被人用爆了，怎么办？

快速止损步骤如下：

1. 立即在控制台停用该 key
2. 查看最近 1 小时调用日志，看是否有 IP 异常
3. 如果是客户使用不当，提醒他们更换 key 且不得写入前端
4. 检查当前接口是否有超权限调用，立刻收紧权限
5. 如果有费用损失，尝试向平台申请限额退款（如腾讯云有使用异常申诉入口）

✅ 总结一句话：

平台发出的是“钥匙”，不是“监控器”。 谁用钥匙开门，平台默认你自己授权了。