API Key 是什么？为什么不能直接写进公开网页

API Key 经常用来识别调用某个接口的应用或账户。它不一定等同于登录密码，但泄露后同样可能让别人冒用你的额度或权限。

最常见的错误

把 Key 直接写进前端 JavaScript、截图发到群里，或者提交到公开 Git 仓库。浏览器前端代码对访问者是可见的，所以真正的秘密凭据应该放在服务端或安全的环境变量中。

如果密钥代表服务器身份、调用权限或付费额度，通常应由你控制的后端保存并代为调用。前端只发送业务请求，不应把长期密钥一起交给每个访问者。

为什么前端网页藏不住 Key

只要凭据被发送到访问者的浏览器，就不能把它当成真正的秘密。即使代码经过压缩或变量改名，访问者仍然可以检查网络请求和脚本内容。

泄露之后该做什么

优先到服务商后台撤销或轮换旧 Key，再检查调用日志和权限范围。不要只把代码仓库里的那一行删掉，因为已经泄露的凭据可能仍然有效。