Skip to main content

​
簡短回答

發現令牌（API Key）有不明用量時，按三步走最穩妥：
  1. 先查去向：複製這個 KEY，在聊天記錄、程式碼倉庫、配置檔案裡全域性搜尋，確認給過誰、用在了哪裡。
  2. 查不到就停用：如果確實排查不到使用者，直接停用該令牌即可，影響面通常很小。
  3. 加固賬號：修改賬號密碼、收緊後臺權限，非必要人員不登入後臺。
下面給出詳細排查步驟，以及如何通過日誌裡的真實呼叫 IP 鎖定實際呼叫方。

​
排查步驟

1

第一步：定位 KEY 的去向

複製這條令牌的 KEY，在以下範圍做全域性搜尋，確認它曾經發給過誰、被配置到了哪裡：
  • 與同事 / 外包 / 客戶的聊天記錄（微信、飛書、郵件等）
  • 程式碼倉庫與提交歷史（包括已刪除分支、.env、配置檔案）
  • 部署平臺、CI/CD、第三方工具裡儲存的環境變數 / 金鑰
多數”莫名呼叫”其實是某處遺留的舊配置仍在跑，搜一遍 KEY 就能對上號。
2

第二步：排查不到就直接停用該令牌

如果第一步查完仍不知道是誰在用，直接停用這條令牌是最快的止損方式。令牌是相互獨立的——停用其中一條，不影響賬號下的其他令牌，影響面通常很小。確認無人合法使用後即可停用，必要時再新建一條令牌替換。
3

第三步：加固賬號與權限

在止損的同時，把賬號安全收緊：
  • 修改賬號密碼，使用高強度密碼
  • 收緊後臺管理權限，非必要人員不要登入後臺
  • 員工日常只通過查詢欄目自助查詢 KEY 用量，無需進入後臺

​
如何通過日誌鎖定真實呼叫方

進入後臺的日誌欄目，可以看到每次呼叫使用的令牌、模型、IP 等資訊。把滑鼠滑到某條日誌的 IP 上，會彈出該次呼叫的 IP 詳情：
兩個 IP 怎麼讀？
  • 主要 IP：是 APIYI 平臺的流量分發 IP，對所有客戶都一樣，不代表呼叫來源。
  • 代理 IP 裡的 X-Real-IP（及 X-Forwarded-For）：才是你們真正發起呼叫的 IP，也就是實際使用方的 IP。
排查時請以 X-Real-IP 為準，比對它屬於哪臺機器 / 哪個網路，即可鎖定到底是誰在呼叫。
結合令牌一起看更快：日誌同時顯示了使用的令牌和模型。先按可疑令牌過濾日誌，再看其 X-Real-IP 集中在哪些地址，往往就能定位到具體的人或服務。

​
常見問題

不會。每條令牌相互獨立，停用一條不影響賬號下的其他令牌和正常業務。只要確認該令牌沒有合法用途，就可以放心停用，必要時再新建一條替換。
不是。主要 IP（如 104.194.93.159）是 APIYI 平臺的流量分發 IP，對所有呼叫都相同，屬於正常現象。判斷呼叫來源請看代理 IP 裡的 X-Real-IP。
不需要。建議只開放查詢欄目給員工自助查詢用量，後臺管理權限保留給必要人員，從源頭降低賬號與金鑰被濫用的風險。
幾個習慣：不要在程式碼裡硬編碼 KEY、用環境變數儲存；按用途分多條令牌、便於單獨停用；定期輪換 KEY；離職 / 專案結束及時回收對應令牌。

​
相關文件

令牌管理

建立、停用、分配令牌的完整說明

呼叫日誌

如何檢視每次呼叫的令牌、模型與 IP

日誌與隱私控制

日誌記錄範圍與隱私設定

資料安全

API易的資料安全與訪問控制機制

​
聯絡我們

如排查後仍有疑問，歡迎聯絡我們的技術支援：

技術支援