必须限制纳米AI API Key使用范围以防止滥用和越权访问，具体包括：1. 限制HTTP Referer来源，支持通配符格式如https://myapp.com/*；2. 绑定可信IP地址，需填写公网出口IP或云厂商分配的EIP；3. 按Scope收窄接口权限，仅勾选必需接口如read:search、write:log。
☞☞☞AI 智能聊天, 问答助手, AI 智能搜索, 多模态理解力帮你轻松跨越从0到1的创作门槛☜☜☜
你需要防止纳米AI的API Key被未授权网站或服务器滥用，避免产生意外调用费用或数据越权访问，必须对Key的使用范围做明确限制。
限制HTTP Referer来源
该方法适用于Web前端集成场景，可阻止Key在非白名单域名下被JavaScript直接调用。
登录纳米AI开发者平台 → 进入【API管理】→ 找到目标Key → 点击【编辑权限】→ 在“应用限制”区域选择【HTTP Referer限制】。
输入允许调用的完整域名，支持通配符，例如：https://myapp.com/*、https://dashboard.mycompany.cn/*。
若填写为https://myapp.com（缺尾部斜杠和星号），则实际请求中带路径如/api/v1/chat会被拒绝，务必补全通配格式。
纳米AI是一款基于人工智能大模型技术开发的智能应用工具，主要用于提供AI问答、内容生成、信息整理与智能搜索辅助等功能。用户可通过自然语言交互方式获取结构化信息与文本内容，用于学习、办公及内容创作等多种场景。
绑定可信IP地址
适用于后端服务调用，能有效拦截来自代理、爬虫或泄露密钥的第三方服务器请求。
在同一个【编辑权限】页中，勾选【启用IP白名单】。
逐行填入你服务器真实的出口公网IP，例如：203.0.113.42、2001:db8::1。
注意：若你的服务部署在阿里云、腾讯云等公有云上，需确认是否启用了NAT网关或SLB——此时应填写负载均衡器分配的固定EIP，而非云主机内网IP；填错将导致全部请求被拦截。
按作用域（Scope）收窄接口权限
这是最精细的权限控制方式，适合多环境共用一个账号但需隔离能力的团队。同一密钥无法再随意调用任意接口。
第一步：进入【创建新密钥】或【编辑现有密钥】页面，展开【权限范围】配置项。
第二步：取消默认全选，仅勾选当前业务必需的接口权限，例如：read:search、write:log。
第三步：确认保存后，该密钥将无法调用delete:knowledgebase或admin:billing类高危接口，即使请求头携带了合法Key也会返回403。
