密钥轮换与安全

最小暴露原则

API Key 只进入可信客户端、本机环境变量或服务端 Secret
兑换码只在 DmCodex 账单页提交
微信收款码只在邀请奖励页上传
管理员 JWT 不应进入普通用户前端

DmCodex 的管理员跳转使用 60 秒有效、单次消费的 handoff code，避免把管理员 JWT 直接交给管理前端 URL。

需要立即轮换的情况

密钥被提交到 Git 或粘贴到公开聊天
下载的一键脚本被转发
CC-Switch 导入链接被泄露
用量页面出现无法解释的请求
设备丢失或不再受控

提示词数据

不要提交生产密钥、私人个人数据、受监管数据、商业机密或无权发送给第三方模型服务的内容。上游模型的数据规则可能独立于 DmCodex。

自动化防护

设置请求超时、额度告警边界和最大重试次数。对 401/403 不重试，对 429 采用带抖动退避，对 5xx 做有限重试。