Appearance
安全与隐私
适用对象：准备复制 API Key、截图求助、提交反馈或让 Agent 操作本机项目的用户。
预计耗时：3-5 分钟。
最重要的一句话
API Key 是你的个人钥匙。只填在你自己的工具里，不要发给别人，不要截图发群，也不要提交到 Git 仓库。
先停一下
如果你正准备把完整 API Key、Token、Cookie、SSH Key、.env 文件或私人代码发给别人，请先停止。
不能发送的信息
不要发送：
| 信息 | 为什么不能发 |
|---|---|
| 完整 API Key | 别人拿到后可能冒用你的额度 |
| Token / Secret Key | 通常也是访问钥匙 |
| Cookie | 可能让别人登录你的网页会话 |
| SSH Key | 可能让别人登录你的服务器或代码仓库 |
完整 .env 文件 | 里面经常包含多个密钥 |
| 私人项目代码 | 可能包含业务、客户或个人隐私 |
| 未脱敏截图 | 可能露出邮箱、路径、密钥、聊天内容 |
可以提供的信息
排查问题时，可以提供：
- 系统：Windows、macOS、Linux 或 WSL。
- 工具名称：Claude Code、Codex、DeepSeek Harness、WorkBuddy、OpenCode、Pi 或 CC Switch。
- 工具版本：例如
codex --version输出。 - Base URL 是否带
/v1。 - 模型名。
- API Key 前 4 位和后 4 位。
- 完整错误文字。
- 已遮挡敏感信息的截图。
- 发生时间。
如果你不确定怎么整理，请使用 反馈与排障信息模板。
API Key 怎么脱敏
假设你的真实 API Key 很长，反馈时只能写成类似这样：
text
前 4 位：abcd
后 4 位：wxyz不要写完整 Key。
不要写成：
text
abcd-中间全部内容-wxyz中间内容必须完全省略或遮挡。
截图前检查
截图前逐项检查：
- API Key 已遮挡。
- Token、Cookie、Secret Key 已遮挡。
- 邮箱和用户名已遮挡。
- 本机项目路径已遮挡。
- 浏览器地址栏没有后台地址、私有链接或访问令牌。
- 终端里没有完整环境变量。
- 截图中没有私人代码和聊天记录。
如果不确定某一块能不能发，先把它遮挡。
配置文件截图特别注意
主站的手动配置会把 Key 写进用户级配置文件，如 Codex 的 config.toml、Claude Code 的 settings.json、Pi 的 models.json。截图时要遮挡凭据字段的完整值；不要上传原配置文件。快速导入命令也可能包含一次性配置码，不要把命令原文发给他人。
让 Agent 操作项目时注意
第一次测试建议使用临时目录。
不要一开始就在重要项目里发送：
text
请帮我修改整个项目。更安全的做法：
- 先在临时目录完成连通测试。
- 再进入真实项目。
- 每次只让 Agent 做一个小任务。
- 修改前确认 Git 工作区状态。
- 修改后检查 diff，再决定是否保留。
如果怀疑 API Key 泄露
如果你已经把完整 API Key 发给别人，或发到了公开地方：
- 立刻停止继续使用这个 Key。
- 登录 主站 API 密钥列表，立即禁用或删除泄露的 Key。
- 为对应工具创建新的 Key，并更新本机配置；如发现异常用量，再联系连接AI处理。
- 删除公开消息或截图。
- 检查本地工具里是否还保存旧 Key。
完成检查
- 已知道完整 API Key 不能发送给任何人。
- 已知道截图前要遮挡 Key、Token、Cookie、邮箱、路径和私人代码。
- 已知道求助时只提供 API Key 前后几位。
- 已知道第一次测试建议使用临时目录。
- 已知道怀疑泄露时要先在主站禁用或删除旧 Key，再创建新 Key。