鉴权与密钥安全

Dimleap 使用 Bearer Token。每个请求都必须在 Authorization 请求头中携带有效 API Key。

标准鉴权

POST /v1/chat/completions HTTP/1.1
Host: api.dimleap.cn
Authorization: Bearer YOUR_APIQIK_API_KEY
Content-Type: application/json

Bearer 与密钥之间需要一个半角空格。密钥无效、缺失或已撤销时，接口返回 401 Unauthorized。

浏览器／App 无平台密钥 → 你的后端身份验证与额度控制 → Dimleap Bearer API Key

前端先调用你的业务后端，后端验证用户身份、执行权限与额度检查，再使用 Dimleap 密钥发起请求。这样可避免任何用户直接提取平台密钥。

环境	建议	目的
本地开发	使用个人开发密钥和本地环境变量文件；将文件加入忽略列表。	限制泄露影响范围。
测试／预发布	使用独立密钥与独立预算，禁止复用生产密钥。	避免压测或错误脚本消耗生产余额。
生产	使用密钥管理服务注入，限制读取权限并审计访问。	实现最小权限和可追踪轮换。

发生泄露时立即处理 撤销受影响密钥、生成新密钥、检查调用记录与异常消费，并排查密钥进入日志、构建产物或版本历史的路径。