外观
代理环境下 API Key 安全：不进共享配置、不进日志的具体做法
代理环境下 API Key 安全的核心是三条：Key 只放在当前用户的环境变量或专用密钥文件里，不写进会被同步、提交或共享的配置文件；调试代理和日志开到会打印请求头的级别时，Key 会原样出现在日志里，要么别开，要么脱敏；不要为了方便把 Key 交给第三方中转服务或写进机场客户端的配置。机场节点本身只转发加密后的流量，看不到 Key，真正的泄露几乎都发生在你自己的电脑和仓库里。
本文讲的是代理环境特有的风险点。走代理的配置方法见终端与 SDK 走代理配置。
速读要点
- 机场节点只看到域名与加密数据，泄露几乎都发生在本机与仓库
- 抓包根证书与第三方中转，是能看到 Key 的两处
- 怀疑泄露先吊销再排查，每个项目用独立 Key
代理环境下 API Key 安全：链路上谁能看到 Key
API 请求用 HTTPS，Key 放在请求头里，在 TLS 加密之内。正常的代理链路里：
| 环节 | 能看到什么 |
|---|---|
| 本机代理客户端 | 目标域名与端口，看不到请求头 |
| 机场节点 | 目标域名与加密数据，看不到请求头 |
| 本机抓包或调试代理（装了自签证书） | 完整请求头，包括 Key |
| 第三方「中转 API」服务 | 完整请求，包括 Key |
所以风险不在机场节点，而在两处：你自己装过证书的抓包工具，以及任何要求你提交 Key 的中转服务。
不进共享配置：Key 不要出现在这些地方
- shell 配置文件。 在
~/.zshrc里 export Key 很方便，但这个文件常被备份、同步到云盘或贴给别人看。改为放在单独的、不同步的文件里再 source，或用密钥管理工具按会话加载。 - 项目配置与仓库。
.env必须在.gitignore里，并提供一份不含真实值的.env.example。配置文件里只放代理地址，不放 Key。 - 机场客户端的配置。 有人把 API Key 写进代理客户端的脚本或规则里做「智能分流」，这些配置常被整份导出、分享。代理配置和 Key 是两件事，不要混在一起。
- 共享终端与截图。 远程协作时在终端 echo Key、截图发群，是最常见的泄露方式之一。
存放方式按环境分支：本机脚本用单独的、不同步的密钥文件按会话 source；IDE 项目用运行配置里的环境变量，不写进仓库文件；容器用运行时注入的环境变量或密钥管理，不要烤进镜像层，镜像一旦分享 Key 就随之外泄。
不进日志：日志里的 Key 怎么处理
- HTTP 库的 debug 日志会打印完整请求头。排查代理问题时开到这一级，记得排查完关掉，并清理已生成的日志。
- 抓包工具的会话文件里保存完整请求，分享抓包文件前先删掉 Authorization 相关头。
- 自己写的重试、埋点代码里，不要把整个请求对象打进日志，只记录状态码与耗时。
- 代理客户端的连接日志只有域名，不含 Key，可以放心分享。
怀疑泄露后怎么做
- 到服务商控制台立即吊销这把 Key，生成新的。
- 查看用量记录，确认是否有异常调用。
- 排查泄露路径：最近有没有提交到仓库、分享过配置、开过调试代理。
- 新 Key 按上面的规则存放，并给每个项目或设备单独的 Key，方便定位与单独吊销。
推荐机场
| 机场 | 付款方式 | 起价 | 入门流量 | 倍率 | 节点地区 | 线路 | AI | 流媒体 | 设备 | 适合谁 | 评测 | 优惠 |
|---|---|---|---|---|---|---|---|---|---|---|---|---|
| 星岛梦 | 月付 / 季付 / 年付 / 按量 | 约 ¥8/月（年付折算） | 260 GB含不限时 | 常规节点 1.0x，专线节点 1.2x，大流量下载专用 0.5x | 香港、台湾、新加坡、日本、美国 | 专线 / IEPL | 实测 3/5 | 实测 6/8 | 5 台 | 便宜优先、新手 | 评测 | 领优惠 |
| 光速云 | 年付 / 月付 / 季付 | 约 ¥7.5/月（年付折算） | 300 GB | 全节点 1.0x 结算，无隐藏高倍率 | 香港、台湾、新加坡、日本、美国 | IEPL / 专线 | 实测 5/5 | 实测 8/8 | 5 台 | 稳定优先、AI 用户、视频用户、性价比 | 评测 | 领优惠 |
| 飞猫云 | 季付 / 年付 / 月付 | 约 ¥7/月（年付折算） | 500 GB | 主力 IEPL 专线 1.0x，直连备用 0.5x | 香港、台湾、新加坡、日本、美国、马来西亚、泰国、土耳其、法国、英国、德国、越南 | IEPL | 实测 3/5 | 实测 7/8 | 3 台 | 便宜优先、新手 | 评测 | 领优惠 |
| 微风网络 | 季付 / 年付 / 月付 | 约 ¥7/月（年付折算） | 450 GB | 日常节点 1.0x，纯净原生解锁节点 1.2x | 香港、台湾、新加坡、日本、美国 | IEPL / 专线 | 实测 5/5 | 实测 8/8 | 5 台 | 便宜优先、新手、AI 用户、视频用户 | 评测 | 领优惠 |
| 唯兔云 | 月付 / 季付 / 年付 | ¥14.9/月起 | 220 GB | 主流节点 1.0x，大流量专用 0.3x | 香港、台湾、新加坡、日本、美国、马来西亚 | 中转 / 直连 | 实测 2/5 | 实测 4/8 | 2 台 | 性价比 | 评测 | 领优惠 |
起价标「年付折算」的是年付套餐折合的月均价，不是月付价。AI / 流媒体：实测 n/m 为站长实测结果（可用项数 / 测试项数，部分可用不计入可用），资料称支持 为品牌资料描述，未测试 为未纳入测试；可用性随平台策略变化，以最新复测为准。
机场只负责网络通道，Key 安全与机场选择无关。
常见问题
机场能不能看到我的 API Key？
看不到。Key 在 TLS 加密内，机场节点只看到目标域名与加密数据。前提是你没在本机安装抓包工具的根证书。
用「中转 API」便宜又快，有什么风险？
中转服务能看到完整请求与 Key，等于把 Key 交给了对方。价格便宜不构成信任理由，以官方渠道为准。
把 Key 写进 ~/.zshrc 到底行不行？
能用，但这个文件常被同步和分享。至少改为放在不同步的单独文件里加载，多台设备各用独立的 Key。
下一步
- 机场只负责通道，挑节点看单出口与丢包：AI 机场有哪些
- 不想在代码或终端里碰代理地址，用 TUN 接管：TUN 模式与系统代理的区别