防止 API 金鑰洩露到 AI 生成程式碼中的實用清單

2026 年 11 月 9 日 23 時 04 分，DEV Community 的 AI 板塊刊登了 ShipSafeStack 釋出的一份實用清單，主題為《如何防止 API 金鑰洩露到 AI 生成的程式碼中》，指導開發者在與 AI 程式設計代理互動及程式碼生成過程中如何防止 API 金鑰洩露。清單開篇明確宣告：這不是滲透測試、合規審計、評分或應用可安全釋出的證明，僅作參考，不作任何保證。

清單的核心建議是把「變數名」而非「值」交給代理：代理之所以會把金鑰直接寫進程式碼，是因為缺少金鑰時請求會失敗。正確做法是把值放在宿主的機密儲存中，或放在 Git 忽略的本地配置檔案中，只向代理傳遞變數名。與之配套的是此前釋出的前端清單，一份用於在應用構建完成後搜尋 bundle 中是否殘留金鑰，本頁則用於讓金鑰不進入代理寫出的程式碼，兩份清單互有重疊，應同時使用。