必须通过环境变量注入密钥并禁用前端硬编码、Git提交和日志打印，登录开发者平台创建权限最小化密钥后立即存入密码管理器，调用前验证有效性，支持快速禁用与版本化轮换。
☞☞☞AI 智能聊天, 问答助手, AI 智能搜索, 多模态理解力帮你轻松跨越从0到1的创作门槛☜☜☜
你需要在生产环境中安全使用纳米AI的API Key，防止密钥泄露导致账户被盗刷、配额耗尽或敏感数据外泄。这要求你不能把密钥硬编码进前端代码、不提交到Git仓库、不以明文形式存于配置文件，且必须支持快速禁用与轮换。
从开发者平台获取并保存初始密钥
访问 纳米AI开发者平台 → 使用手机号登录 → 进入「API管理」页面 → 点击「创建新密钥」。
填写名称（如“web-prod-search-v1”），勾选实际需要的服务权限（nano-search、nano-chat，**切勿全选**）→ 点击确认。
【密钥仅首次展示时可完整复制，关闭页面即永久不可见】。立即复制整串字符串（以sk-、or-或fw-开头），粘贴至本地密码管理器（如Bitwarden）或离线加密文本文件，【绝不可存于Notepad、微信聊天记录或未加密的Excel】。
禁止明文暴露的三种典型错误场景
方法一：前端JavaScript中直接写死密钥
❌ 错误示例：const API_KEY = "sk-abc123..."; fetch(...)
浏览器开发者工具可直接查看源码，密钥瞬间泄露。
方法二：Git提交包含.env或config.yml文件
❌ 错误示例：.env文件未加入.gitignore，内容含NANO_API_KEY=sk-xxx
一旦推送到GitHub/GitLab，密钥即公开，无法撤回。
纳米AI是一款基于人工智能大模型技术开发的智能应用工具，主要用于提供AI问答、内容生成、信息整理与智能搜索辅助等功能。用户可通过自然语言交互方式获取结构化信息与文本内容，用于学习、办公及内容创作等多种场景。
方法三：日志打印完整密钥
❌ 错误示例：console.log("Using API key:", apiKey)
生产环境日志若被收集分析，密钥将出现在ELK或Splunk中。
服务端安全接入方案
第一步：通过环境变量注入密钥
启动服务时使用NANO_API_KEY=sk-xxx node server.js，代码中读取process.env.NANO_API_KEY。确保该变量不在进程列表或容器inspect输出中可见。
第二步：设置请求头Authorization字段
所有HTTP请求必须携带：Authorization: Bearer sk-xxx。注意Bearer后有空格，【缺少空格会导致401认证失败】。
第三步：启用密钥失效兜底机制
在调用纳米AI接口前，先向https://api.nano-ai.com/v1/health发起HEAD请求验证密钥有效性。若返回401或超时，自动切换至备用密钥或返回友好错误提示，避免服务雪崩。
密钥轮换与禁用操作
① 登录开发者平台 → 进入「API管理」→ 找到目标密钥 → 点击「禁用」按钮。
② 禁用后该密钥立即失效，所有后续请求返回401，但历史调用记录仍可查。
③ 点击「创建新密钥」生成替代密钥，按前述安全方式重新注入服务。
④ 确认新密钥运行稳定24小时后，再点击原密钥旁的「删除」（软删除，不可恢复）。
每次轮换应同步更新密钥名称中的版本号（如“web-prod-search-v2”），便于追溯变更时间与责任人。
