密钥安全与更换

1. 不要硬编码。 代码读环境变量，真实 Key 放在本人电脑的 .env 或客户端安全存储中。
2. 不要分享。 不发给朋友，不贴群聊，不放公开教程、截图、日志或 GitHub；私有仓库也不要提交。
3. 不要把 Key 放进网页前端。 自建网页应由受控服务端读取 Key 并调用 API，还需要访问控制和用量限制；只做界面遮罩无法保护密钥。
4. 每个客户端尽量独立建 Key。 名称清楚，分别设置预算，出问题时可以只停用其中一把。
5. 定期轮换。 在控制台创建新 Key，更新客户端，测试成功后停用旧 Key。怀疑泄露时先停用旧 Key，不必等测试。
6. 轮换时检查自动配置文件。 Codex、Claude Code 或其他工具生成的脚本、认证文件可能含 Key，也要更新和保护。

如果使用 Git，在测试目录检查：

# 确认 .env 被忽略；正常情况会输出 .env。
git check-ignore .env
# 检查 .env 是否已经被跟踪；正常情况应无输出。
git ls-files -- .env
# 提交前查看文件清单，确认没有密钥文件。
git status --short

如果 .env 已经被 Git 跟踪，.gitignore 不会自动删除已有记录。停止提交并处理跟踪与历史；如果真实 Key 已上传，先撤销旧 Key，再清理仓库。

✅ 本节完成检查点

• [ ] 密钥没有被硬编码、分享或提交到 GitHub。
• [ ] 我知道如何停用、替换和定期轮换 Key。
• [ ] 我已经用至少一个客户端成功完成首次对话。