API 密钥是什么：识别调用凭据，不能当作普通前端配置
解释 API 密钥在服务调用中的作用，区分它与接口地址及 OAuth 访问令牌，并说明如何验证应用接入而不暴露密钥。
先理解这个概念
API 密钥是服务用于识别或认证调用方的一类凭据，通常与账号、项目或权限范围关联。它不是接口网址，也不能仅凭“token”这个泛称就与 OAuth 访问令牌视为同一种东西。应用拿到密钥仍需按接口规则发送请求，调用成功后也要核对实际结果；凭据有效不等于模型答案正确。
密钥承担调用身份而非业务内容
模型请求通常同时包含服务地址、认证信息与任务输入。地址决定请求送往哪里，密钥参与认证，提示词则描述任务，三者不能互相替代。OpenAI 的认证与密钥建议要求妥善保存凭据，不能将长期密钥发到浏览器。某些接口使用临时令牌，签发和有效条件需要另行核对。密钥失效可能导致认证错误，字段不受支持则是请求问题，模型答错又属于内容问题，应根据实际返回分开排查，不要遇到所有错误都重新申请密钥。
用公开输入验证接入而不打印凭据
例如用一段公开文字测试分类接口，应用从预期的安全位置读取凭据，记录请求状态与必要标识，再核对分类结果。不要把完整请求头复制到报告，也不要通过打印密钥证明配置成功。缺少认证与无效任务参数应产生可区分的错误，便于定位。这里只说明检查方法，没有读取任何账号凭据或发起收费调用。接口能返回一次结果，仍需检查应用是否把失败正确呈现给使用者，不能用静默重试掩盖持续认证失败。
权限范围与轮换需要持续维护
上线应用应按所需能力配置凭据，避免将开发用途密钥随源码或产物交付。更换密钥时先验证新配置，再按项目规则处理旧凭据，并确认恢复方式。后端代理仍需要限制调用范围，不能因为密钥藏在服务器就允许任意请求。维护记录只保留凭据标识和变更状态，不保留真实值。密钥管理解决调用身份问题，费用控制与结果核对仍需应用承担；本文不提供任何可用密钥，也不声称某个账号已经连接完成。
核对来源
以下资料用于核对概念和方法。文中的示例与测试范围分别注明，实际使用时请核对所用工具的版本。