防止 API 密钥泄露到 AI 生成代码中的实用清单

2026 年 11 月 9 日 23 时 04 分，DEV Community 的 AI 板块刊登了 ShipSafeStack 发布的一份实用清单，主题为《如何防止 API 密钥泄露到 AI 生成的代码中》，指导开发者在与 AI 编程代理交互及代码生成过程中如何防止 API 密钥泄露。清单开篇明确声明：这不是渗透测试、合规审计、评分或应用可安全发布的证明，仅作参考，不作任何保证。

清单的核心建议是把「变量名」而非「值」交给代理：代理之所以会把密钥直接写进代码，是因为缺少密钥时请求会失败。正确做法是把值放在宿主的机密存储中，或放在 Git 忽略的本地配置文件中，只向代理传递变量名。与之配套的是此前发布的前端清单，一份用于在应用构建完成后搜索 bundle 中是否残留密钥，本页则用于让密钥不进入代理写出的代码，两份清单互有重叠，应同时使用。