困惑： API KEY 只能复制一次，这不“脱裤子 XX”吗？

[yanerweb]

我发现大模型后台 API KEY ，复制策略分 2 种

1 、可以明码查看复制的，比如：阶跃星辰 step

2 、首次复制，以后就隐藏的，比如：ds

第 2 种所谓安全，实则脱裤子 XX

[penzi]

你觉得所有输入密码的地方显示 *** 是不是也是脱裤子放屁

[Greenm]

有用啊，很多厂商都这样做的，比如各大云厂商下载 aksk 也这样的。 主要防止的就是你账号失窃后 API key 不会被冒用，可以减少爆炸半径。

[nomansky]

我也不清楚这两种是为啥。其他的平台只能首次复制的，猜测这种只能复制的功能特性可能是为了表示 key 是一次性生成的，不做明文保存。后端用对称加密或者 hash

[Topmax]

如果密钥一定会泄露，那只在第一次显示可以极大缩减排查范围和可能的损失。

[Curtion]

甚至有可能第二种是因为云端就没有存明文 key, 后续想查询也做不到了

[ntdll]

第二种安全，指的是厂家安全。因为仅展示一次，比如过半年以后被盗刷，那几乎可以断定是用户保管不当。即使后续用户在平台侧的账号泄露，也不会造成这些 api key 的泄露，而要重置这些 api key ，厂家会触发二次验证。

[digitv]

只显示一次的都是假装为了安全甩锅的设计，现状就是用户很大可能不止使用一次 key ，这就导致只能自己保存，自己保存的风险远远大于平台保存。平台纯粹是懒政，想解决安全问题方法很多，最简单的加个二次验证就好了

[cloudzhou]

这是安全策略，key 的重要性远高于账户，尤其是里面涉及资产，现在 token 就是资产
举个例子，有一天账号体系被突破了（ CSDN...），但是 key 拿不到，那么用户就很少了
否则，很快的，token 都会被刷没，各种中转站

[Tink]

本站 api key 也是

[icanfork]

这是合理的安全策略

[Tink]

这种动作最根本的原因是，让服务端尽量不保存（或无法还原）API Key 的明文

[chendy]

很常规的安全设计
服务方一个 key 只显示一次，使用方一个 key 也只用于一个用途
这样发生一些事故的时候比较容易定位和处理

[94]

所以为什么现在密码安全还是要推荐不同平台的账户不要用同一套账密呢。Secret Key 也是一样的道理。

[yidinghe]

你考虑一下自己帐号被黑，如果可以无限复制，那你的 key 就都被盗了。如果只能复制一次，key 就不会因为帐号被黑而被盗。

[keenkiller]

防泄漏，后台数据库没存原始值

[maplezzz]

这单纯就是平台把泄露的风险责任推给个人

[belite]

1. 减少攻击面，即便自己的数据库被拖库了，api 不会泄露
2. 责任转移，以后有涉及 API 泄露的 与他无关，肯定是你的问题
脱裤子 XX 是什么意思？不能提高安全性？

[Fistandantilus]

啊，你们 XX 的时候都不脱裤子吗

[xooass]

亚马逊的店铺 apikey 好像每 3 个月就要轮换一次

[paopjian]

现用现取的策略在你嘴里就成 脱裤子 xx 了, 把一个最高权限秘钥串当做普通文本传来传去是一点安全意识没有啊