腾讯混元API Key一旦泄露必须立即禁用并重置，禁用后调用将返回AuthFailure.InvalidSecretId错误；需通过交互式变基清除Git历史痕迹，并启用git-secrets预检防止再次泄露。
☞☞☞AI 智能聊天, 问答助手, AI 智能搜索, 多模态理解力帮你轻松跨越从0到1的创作门槛☜☜☜
腾讯混元API Key一旦误传到公开Git仓库，密钥即视为已泄露，必须立即在腾讯云控制台禁用并重新生成，否则他人可凭该密钥调用你的账号资源产生费用或滥用权限。
立即禁用原密钥
登录腾讯云控制台 → 进入【访问管理】→【API密钥管理】→ 找到对应密钥条目 → 点击【禁用】按钮。
禁用操作不可逆，且生效时间小于1秒；【禁用前切勿尝试删除密钥，否则将无法再查看其SecretId用于后续审计】。
禁用后，所有使用该密钥的接口调用将立即返回AuthFailure.InvalidSecretId错误。
生成新密钥并更新本地配置
在【API密钥管理】页面点击【新建密钥】→ 勾选“仅限API调用”权限 → 创建成功后，页面会一次性显示SecretId与SecretKey。
此时必须立刻完成三件事：复制SecretId、复制SecretKey、关闭该页面（避免二次泄露）。
将新密钥填入项目配置文件（如config.yaml或.env），注意：【SecretKey必须为32位字符串，若长度异常（如仅3位），说明配置逻辑已被脱敏污染，需检查代码中是否对config._data做了原地修改】。
从Git历史中彻底清除密钥痕迹
第一步：确认密钥出现的所有提交
git log -p -S "AKID" --all（假设密钥以AKID开头）或git log -p -S "your-secret-key-part" --all
第二步：对含密钥的最早一次提交开始交互式变基
Git 历史考古工具，回答“为什么这段代码存在？”，适用于任意文件、行或可疑代码块。链式调用 git blame → git log --follow → commit 信息...
git rebase -i <commit-hash>^ → 将对应行改为edit → 保存退出 → 执行git rm --cached <file> → git commit --amend → git rebase --continue
第三步：强制推送到远程分支（需团队同步执行）
git push --force-with-lease origin main（替换main为实际分支名）
⚠️ 若仓库已设保护分支策略，需临时关闭“推送规则”或联系管理员协助清理。
配置Git全局敏感词屏蔽
方法一：使用.gitattributes标记敏感文件
在项目根目录创建.gitattributes，写入：.env filter=openssl diff=openssl，再执行git config filter.openssl.clean "openssl enc -aes-256-cbc -k 'password' -in %f -out %f.enc 2>/dev/null || cat %f"（不推荐，维护成本高）。
方法二：启用git-secrets预检（推荐）
git secrets --install → git secrets --register-aws → git secrets --add 'AKID[0-9A-Za-z]{20,}' → git secrets --install --global。
此后每次git commit都会自动扫描密钥特征，命中即中止提交并报错。
