Key 开通10 分钟阅读发布于：2026-03-31更新于：2026-08-07

OpenAI API Key 开通与安全使用指南（2026）

从创建 OpenAI API Key 到权限设置与安全实践的完整步骤，帮助你快速上线并避免常见风险。

作者 Heizi· 创始人 & 编辑· 发布于: 2026-03-31· 更新于: 2026-08-07实测验证

1）在官方后台创建 Key

OpenAI 的 Key 在开发者平台（platform.openai.com）的 API Keys 页面创建。若用于生产环境，建议使用团队组织账号，不要使用临时个人账号。如果尚未注册，OpenAI API Key 教程逐步讲解了账号注册、手机验证和计费设置。

创建后请立即保存到安全位置（例如密码管理器或密钥系统），不要把 Key 贴到聊天群、工单系统或公开文档。Key 字符串以「sk-」开头，通常为 51 个字符——如果你的 Key 看起来更短或被截断，可能是复制不完整。

为每个 Key 取一个能反映用途和环境的描述性名称，如「prod-backend-audit」或「dev-staging-test」。当团队成员更换角色或离职时，这能大大方便你判断该轮换或撤销哪个 Key。OpenAI 后台还支持将 Key 分配到特定项目，有助于消费追踪和访问隔离。

2）按最小权限原则配置

OpenAI 支持 Key 级权限（如 All、Restricted、Read Only）。生产环境建议优先使用 Restricted，仅开放业务实际需要的接口——例如你的应用只做文本生成和搜索，就只开「Chat Completions」和「Embeddings」。完整的 OpenAI API 参考指南详细说明了各权限范围。

如果多个内部服务都会调用 OpenAI，建议为每个服务单独创建 Key，既便于审计，也能降低单点泄露影响。

一个常见错误是创建一个 All 权限的 Key 并在多个服务间共享。一旦某个服务被攻破，攻击者就能完全控制你的账号——包括删除模型、修改计费或耗尽额度。使用 Restricted Key 时，即使泄露也只暴露其授权的特定接口，能大幅降低潜在损失。

3）只在服务端使用密钥

不要把 OPENAI_API_KEY 暴露在前端代码中。正确做法是将 Key 放在服务端环境变量里，通过后端请求 OpenAI。如果不小心在前端代码中暴露了 Key，请立即在后台撤销并创建新 Key——应假设任何已暴露的 Key 都已被利用。

开发、测试、生产环境建议使用不同 Key。团队成员离职或疑似泄露时，要立刻轮换密钥。

以下是在 .env 文件中配置 Key 并在 Node.js 应用中加载的方法：

对于 Next.js，切记不要给环境变量加 NEXT_PUBLIC_ 前缀。带 NEXT_PUBLIC_ 前缀的变量会被打包到客户端 JavaScript 中，任何查看网页源代码的人都能看到。不带前缀的 OPENAI_API_KEY 变量只能在 Server Components 和 API 路由中访问，这正是你需要的。同时，持续监控用量有助于及时发现异常消费——尽早了解 API 成本能避免月底的意外账单。

使用环境变量或密钥管理系统保存 Key
禁止把 Key 提交到 Git 仓库
建立固定轮换机制

bash

# .env file
OPENAI_API_KEY=sk-your-key-here

# .gitignore — make sure .env is listed
.env

OpenAI API Key 的环境变量配置

javascript

// Load the key from environment in Node.js
require('dotenv').config();

const { OpenAI } = require('openai');

const client = new OpenAI({
  apiKey: process.env.OPENAI_API_KEY, // never hardcode
});

在 Node.js 中从环境变量加载 API Key