API Key 是使用 AI 接口、插件和中转站时很常见的一串字符。它看起来像随机密码，本质上是服务方发给你的调用凭证。系统通过它识别是谁在请求服务、有没有权限、用了多少额度。
很多人第一次接触 API Key，是在配置 AI 工具时。工具要求你填一串 Key，然后才能调用模型。这个 Key 不一定等同于你的账号密码，但泄露后一样危险，因为别人可能拿它消耗你的额度，甚至访问你有权限调用的服务。
先用一句话抓住它
API Key 像一张门禁卡，系统通过它判断“是谁在调用服务、有没有权限、用了多少额度”。
它不是给人记忆的密码，而是给软件使用的凭证。软件每次调用 API 时，都会带上这串 Key，让服务方知道请求来自哪个账户或项目。
为什么它重要
API 服务不能让任何人随便调用。服务方需要知道调用者是谁、是否被允许访问、是否超过额度、费用该算到哪里。API Key 就承担了这部分身份识别和访问控制的工作。
对 AI 服务来说，API Key 还经常和计费绑定。谁的 Key 被使用，费用就算到谁的账户上。如果 Key 泄露，别人可能用它批量调用模型，产生费用、耗尽额度，甚至让你的账户被风控。
flowchart LR
App["应用 / 工具"] --> Key["携带 API Key"]
Key --> API["API 服务"]
API --> Check["识别身份 / 检查权限 / 记录用量"]
Check --> Result["返回结果或拒绝请求"]它和账号密码有什么不同
账号密码通常用于人登录系统，API Key 通常用于软件调用接口。它可能只对应某个项目、某个环境或某些权限，也可能设置额度、过期时间和调用范围。
但这不代表 API Key 就不重要。它一旦出现在公开网页、截图、GitHub 仓库、聊天群或日志里，就可能被别人复制使用。免费 Key 也要保护，因为它可能被刷光额度，或被用于违反平台规则的请求。
容易误解的地方
很多人以为只要 Key 能用，平台就安全。其实 Key 只能说明你有访问凭证，不能说明服务方的数据处理一定可信。尤其是中转站、插件和第三方工具，除了看 Key，也要看平台是否可靠、是否记录请求内容、是否能删除 Key、是否能查看用量。
另一个误区是所有项目共用一个 Key。这样虽然方便，但一旦泄露，很难判断是哪一个项目出了问题。更好的做法是给不同项目、不同环境创建不同 Key，用完可以单独停用。
怎么判断它该不该用
只要软件需要调用外部 API，就可能需要 API Key。你可以把它当作“最小权限”的凭证来管理：能少给权限就少给权限，能设置限额就设置限额，能按项目拆分就不要混用。
如果怀疑 Key 泄露，不要犹豫，应该立刻删除或重新生成。真正安全的习惯不是“记住 Key”，而是让 Key 可轮换、可追踪、可限制、可撤销。