必须在同一项目中完成账号、API、密钥三者绑定，否则后续调用返回403错误；需启用Generative Language API（非Vertex AI或模糊命名）、限制密钥仅访问该API、禁止前端暴露、按环境隔离项目与密钥、每90天轮换生产密钥并删除旧密钥。
☞☞☞AI 智能聊天, 问答助手, AI 智能搜索, 多模态理解力帮你轻松跨越从0到1的创作门槛☜☜☜
你需要在自己的应用中调用 Gemini 模型，但又担心 API Key 一旦泄露会导致高额账单、数据外泄甚至服务被封禁，必须从创建密钥的第一步起就建立安全闭环，不能等出事再补救。
创建合法可用的 Gemini API Key
这一步必须在同一项目中完成账号、API、密钥三者绑定，缺一不可，否则后续所有操作都会返回 403 错误。
第一步：访问 https://console.cloud.google.com/，用谷歌账号登录 → 在右上角项目下拉菜单中点击「新建项目」→ 输入项目名称（如 gemini-prod-2026），选择组织（个人用户留空）→ 点击「创建」。
第二步：项目创建完成后，立即进入左侧导航栏「API 和服务」→「库」→ 在搜索框输入 Generative Language API → 点击搜索结果中的同名服务 → 点击页面顶部「启用」按钮。注意：不是 Vertex AI API，也不是「Gemini API」模糊条目，【必须是 Generative Language API】，否则密钥无法调用模型。
第三步：启用成功后，进入「API 和服务」→「凭据」→ 点击「创建凭据」→ 选择「API 密钥」→ 系统自动生成一串以 AIzaSy 开头的字符串 → 点击「复制」并立即粘贴到本地加密笔记或密码管理器中 → 关闭弹窗。此密钥仅显示一次，关闭后无法再次查看。
立即限制密钥调用范围
刚生成的密钥默认拥有项目内所有已启用 API 的调用权，而 Gemini 模型实际只依赖 Generative Language API，其他权限全是攻击面。
方法一：精准锁定 API
在「凭据」列表中，点击刚创建的密钥名称 → 展开「API 限制」区域 → 选择「限制密钥」→ 在下拉菜单中仅勾选 Generative Language API → 取消勾选 Vertex AI API、Cloud Storage API、Maps API 等一切无关项 → 保存。
方法二：禁止前端暴露（关键防护）
若该密钥用于后端服务（如 Python Flask 或 Node.js 接口），请在「应用限制」中选择「不接受任何 HTTP 引用来源或 IP 地址限制」；【切勿在此处填写域名或开放 Referer 白名单】，否则会为前端硬编码埋下伏笔。
环境隔离与密钥轮换实操
开发、测试、生产共用一个密钥，等于把三把锁挂在同一把钥匙上——任一环节失守，全线崩溃。
① 为每个环境创建独立项目：在 Google Cloud 控制台新建三个项目，命名格式统一为 myapp-dev-xxxxxx、myapp-staging-xxxxxx、myapp-prod-xxxxxx（末尾六位用项目编号）。
② 在每个项目中重复「创建密钥」流程，生成三组互不关联的 API Key，并分别命名为 KEY_DEV_GEMINI、KEY_STAGING_GEMINI、KEY_PROD_GEMINI。
③ 删除旧密钥：进入原项目「凭据」页 → 找到历史密钥 → 点击右侧「删除」图标 → 确认删除。Google Cloud 不提供密钥停用功能，【删除是唯一生效的禁用方式】。
④ 设置轮换周期：在团队协作文档中明确标注密钥创建时间，要求每 90 天强制更新一次生产密钥，更新时同步修改 CI/CD 流水线中的环境变量注入逻辑。
杜绝前端硬编码的落地检查
只要代码能被浏览器直接读取，密钥就等于公开。这不是建议，而是铁律。
运行以下命令扫描全部前端文件：
grep -r "AIzaSy\|gemini-" ./src ./public ./config
若返回任何结果，立即执行三项操作：删除该行密钥赋值、将调用逻辑迁移至后端代理接口、在代理层通过环境变量注入密钥。
检查 package.json 中是否含 REACT_APP_GEMINI_KEY 或类似前缀的环境变量声明——若有，【必须删除并替换为 /api/gemini/proxy 这类后端中转路径】。
