API 安全與 Secret 管理：別讓一組 API Key 拖垮帳單

有人專門在 GitHub 上掃描公開 repo 裡的 API Key，找到後幾秒內就開始盜用，OpenAI Key 洩漏後帳單暴增的故事並不少見。AI 生成的範例程式碼常直接寫 api_key="sk-xxx"，那只是示範用，絕對不能照搬到真實專案。

這篇帶你看懂 API Key 該存在哪裡、.env 有哪些常見地雷、JWT 怎麼設計才安全，以及最重要的：一旦 Key 洩漏，該怎麼在最短時間內止血。

API Key 的正確存放方式

環境變數與 .env 的注意事項

# 這個檔案要加到 .gitignore，永遠不要 commit
.env
.env.local
.env.production

# 可以 commit 的：範本（不含真實值）
.env.example  # 內容只有 KEY_NAME= 沒有值

import os
from dotenv import load_dotenv

load_dotenv()  # 讀取 .env 檔案

# 用 os.getenv 讀取，不要寫死
API_KEY = os.getenv("OPENAI_API_KEY")
if not API_KEY:
    raise ValueError("OPENAI_API_KEY 環境變數未設定")

JWT 安全設計

JWT 是常見的 API 認證機制，但有幾個安全要點容易被忽略。

from datetime import datetime, timedelta
import jwt, os

SECRET = os.getenv("JWT_SECRET")  # 至少 256 位元的隨機字串

def create_token(user_id: str) -> str:
    payload = {
        "sub": user_id,
        "exp": datetime.utcnow() + timedelta(hours=1),  # 1 小時後過期
        "iat": datetime.utcnow(),  # 發行時間
    }
    return jwt.encode(payload, SECRET, algorithm="HS256")

def verify_token(token: str) -> dict:
    return jwt.decode(token, SECRET, algorithms=["HS256"])

API 授權：誰能做什麼

認證（Authentication）確認你是誰，授權（Authorization）確認你能做什麼，兩者都要做。

async def get_my_weather_history(
    current_user: User = Depends(get_current_user),
    db: Session = Depends(get_db)
):
    # 只取目前使用者的資料，不是全部
    return db.query(WeatherHistory).filter(
        WeatherHistory.user_id == current_user.id
    ).all()

Secret 洩漏的緊急處理

1. 立刻撤銷：在各服務的設定頁面撤銷洩漏的 Key，這是最優先的事。
2. 產生新的 Key：撤銷後立刻產生新 Key，更新所有用到的地方。
3. 檢查異常使用：查看各服務的 usage log，確認有沒有未授權的使用。
4. 清除 git history：用 git filter-repo 移除 commit 裡的 Secret，然後 force push。