安全

API 密钥

• 将密钥保存在服务器端，远离源码仓库、浏览器构建包及日志。
• 每个应用使用独立密钥及消费限额。
• 定期轮换密钥，泄露后立即撤销。
• 生产 API 请求请使用 HTTPS。

账户访问

启用账户 MFA 并妥善保存恢复凭据。账户管理使用已认证网页会话；管理操作另需角色及 MFA 检查。

模型输出与工具

将生成内容及工具参数视为不可信输入。执行操作前验证架构及权限。网关不会代您执行模型请求的工具。

• 安全实践阅读公开安全政策。
• 工具调用了解工具执行边界。