AI API 金鑰瀏覽器暴露檢查指南

文章説明如何檢查 Web App 是否把 OpenAI、Claude 或 Gemini API 金鑰暴露在瀏覽器，並提供相應修復流程。檢查包括 Network 面板、前端程式檔及環境變數前綴；發現外洩後，先建立新金鑰並在伺服器端部署，再撤銷舊金鑰，並加入工作階段驗證及用戶速率限制。

OpenAI、Claude 或 Gemini API 金鑰可透過檢查瀏覽器網絡請求、已載入腳本及環境變數前綴，在兩分鐘內排查是否曝光。若金鑰已曝光，指南建議先建立新金鑰並部署至伺服器端，再撤銷舊金鑰，並以具身份驗證及用戶速率限制的伺服器路由取代瀏覽器直連。文中亦示範以 Apidog CLI 測試未登入請求是否回傳 401、回應有否洩漏金鑰字串，以及超出速率限制時是否回傳 429。

這份教學列出檢查 OpenAI、Claude 或 Gemini API 金鑰是否暴露於瀏覽器的方法，並説明如何撤換外洩金鑰及把 API 呼叫移至伺服器端。檢查包括查看 DevTools 的 Network 請求、已載入程式碼及環境變數；修復時應先把新金鑰部署到伺服器，再撤銷舊金鑰，並為路徑加入認證和每名用戶的速率限制。

網頁應用程式若直接從瀏覽器呼叫 OpenAI、Claude 或 Gemini，API Key 會暴露在網絡請求或前端程式碼中，可用 DevTools 檢查。文章建議將呼叫遷移至伺服器端，並加入用戶驗證、速率限制、供應商支出上限及 CI 掃描；部署新 Key 後再撤銷舊 Key。

Roobia 的指南説明如何在兩分鐘內檢查 OpenAI、Claude 或 Gemini API 金鑰是否暴露於瀏覽器，並建議把 API 呼叫移至伺服器端。檢查包括 DevTools 網絡請求、前端 bundle 和公開環境變數前綴；發現暴露後，應先部署新金鑰再撤銷舊金鑰，並加入登入驗證及每用戶速率限制。