认证配置

本页介绍 OpenAI API 的认证方式、密钥管理与安全最佳实践。

#1. 创建 API Key

1. 登录 OpenAI Platform↗。
2. 进入 API Keys↗。
3. 点击 Create new secret key。
4. 复制并立即保存（密钥只显示一次）。

如果你属于多个团队/项目，请在平台中选择默认项目，或按官方文档在 SDK 中指定对应上下文。

#2. 设置环境变量

#macOS / Linux

bash复制
export OPENAI_API_KEY="你的密钥"

#Windows PowerShell

powershell复制
$env:OPENAI_API_KEY="你的密钥"

#.env 文件（推荐）

bash复制
OPENAI_API_KEY=你的密钥

#3. 在代码中使用

#Node.js

ts复制
import OpenAI from 'openai';

const client = new OpenAI({
  apiKey: process.env.OPENAI_API_KEY
});

#Python

python复制
from openai import OpenAI

client = OpenAI(
    api_key=os.environ.get("OPENAI_API_KEY")
)

#curl

bash复制
curl https://api.openai.com/v1/responses \
  -H "Authorization: Bearer $OPENAI_API_KEY" \
  -H "Content-Type: application/json" \
  -d '{ "model": "gpt-5.2", "input": "Hello" }'

#4. 前端与后端的安全边界

• 不要把 API Key 放到浏览器端（会被轻松抓到）。
• 在后端做代理：前端调用你的 API，由后端转发到 OpenAI。
• 对公网接口加鉴权与限流，防止滥用。

#5. 安全最佳实践

• 最小权限：只给需要的人/服务访问权限。
• 定期轮换密钥：密钥泄露时立即撤销并重建。
• 避免提交到 Git：将 OPENAI_API_KEY 加入 .gitignore。
• 日志脱敏：日志里不要打印完整密钥。

#6. 常见问题

#401 Unauthorized

• 检查 API Key 是否有效、是否复制完整。
• 确认环境变量生效（重启服务后再试）。

#403 Forbidden / 权限不足

• 确认账号/组织是否已开通对应功能。
• 检查项目或组织策略限制。

#429 Too Many Requests

• 降低并发或增加重试与退避。
• 检查配额与限额设置。

#参考资料

• OpenAI API 文档↗
• API Reference↗