看到401、404或429时，最忌讳同时更换Key、地址和模型。先保存原始错误，才有可能定位。
有人把控制台登录密码、模型名称或整段配置粘进Key输入框，也有人为了求助把完整Key发到截图和聊天里。
所以这篇文章只解决一件事：理解API Key的作用、创建位置、使用边界和泄露后的处理方式。最终交付必须能被另一位不了解过程的人复查，而不是只由工具自己宣布完成。
适合谁
适合第一次配置Codex、Claude Code或CC Switch，看到API Key输入框却不知道填什么的人。
如果没有真实材料、说不清结果要用在哪里，或准备把输出不经检查直接提交，先不要扩大任务。补齐最小输入，再从一份样本开始。
API Key相当于调用凭证，不能出现在截图、文章示例、聊天记录、日志或代码仓库。地址、模型、协议和Provider字段只以当前控制台及客户端说明为准。
开始前准备
- 当前服务控制台账号
- 目标客户端与Provider
- 安全保存凭证的位置
- 建立一个测试副本或新目录，不直接操作唯一原件。
- 写下一句验收标准：Key来源明确，只保存在受控位置，验证和排错材料中没有完整凭证
先确认这三项材料是当前版本，并写明各自用途。文件越多，越需要先编号和分批，不能用一次全量处理来测试规则是否正确。
完整步骤
第一步之前：先做一个最小样本
第一轮只验证流程，不追求覆盖全部范围。保留原始输入和第一次结果，后面每次调整才能知道究竟改善了什么。
第一步：确认Key属于哪个服务
从当前控制台创建自己的调用凭证，不复制他人Key，也不把不同服务的Key混用。
继续下一步之前，抽查“Key来源记录”中的边界项和异常项；发现前提不成立就先修正。
第二步：只在受控配置中填写
优先使用客户端安全配置或环境变量，不写进文章、截图、代码仓库和普通文档。
把“凭证存放位置”作为本轮留存证据。后续合并或扩大范围时，都应能用它复盘。
第三步：用脱敏方式核对
排错时只显示是否存在、长度或前后少量字符，不输出完整值。
先停在这里检查一次。此时应已经形成“脱敏检查记录”，并且能回到原始材料说明它从哪里来。
第四步：建立泄露处置
一旦Key进入公开记录，立即撤销并重建，再清理暴露位置和检查使用记录。
这一阶段的完成标志不是工具有回复，而是“凭证处置清单”已经可供人工检查。
第五步：人工验收并沉淀流程
完成一次任务只是起点。保留材料版本、实际改动和验收记录，下次才有条件把它训练成稳定工作流。
实际示例
远程协助可以告诉你在哪个输入框填写，但不需要你把完整Key发给客服。若截图已经显示Key，遮住截图还不够，原Key也应撤销。
可以先这样描述任务：
我正在处理“理解API Key的作用、创建位置、使用边界和泄露后的处理方式”。已有材料包括当前服务控制台账号、目标客户端与Provider、安全保存凭证的位置。请先不要扩大任务范围，也不要补造缺失信息。先完成“确认Key属于哪个服务”，输出可以人工检查的中间结果；我确认后，再继续“只在受控配置中填写”。最终请按照“Key来源明确，只保存在受控位置，验证和排错材料中没有完整凭证”列出验收结果和仍需人工确认的内容。
判断示例是否成立时，不看字数和语气，重点看另一位同事能否沿着文件、页码、表格或命令输出复查。
常见问题与报错
复制Key后仍提示未认证
检查是否带入空格、换行或错误前缀，并确认当前Provider使用的是同一服务创建的Key；不要在日志中打印完整值。
配置保存了，客户端仍然使用旧地址
确认当前Provider已经切换生效，完全退出客户端后重开，并检查环境变量或其他配置文件是否覆盖了刚保存的值。
401、404、429和超时一起排查
先记录真实状态码、最终请求路径和响应信息，再按认证、路径、额度、频率和网络分层处理；每次只改一个变量。
API排错必须保留真实状态码、最终请求路径和脱敏响应。每轮只改Key、地址、模型或Provider中的一项。
完成后的检查方法
- Key来源明确，只保存在受控位置，验证和排错材料中没有完整凭证
- 关键结论能回到原始材料、文件、命令输出或当前控制台。
- 没有把缺失信息、推测内容或示例数字写成已经确认的事实。
- 重要文件保留原件、版本或可恢复副本，敏感信息没有进入公开内容。
- 结果已经由真正负责这项工作的人审阅，而不是只看页面是否生成。
验收通过的标准很朴素：结果能用、过程能查、出错能退、未知项没有被伪装成结论。
资料来源
- 小贺API控制台
地址、模型、价格、套餐和配置字段可能调整，以登录后当前页面为准。
- CC Switch项目说明
用于核对Provider管理和客户端切换入口；界面以当前版本为准。
FAQ
可以一次把整个任务交给工具完成吗？
不建议一次交付全部范围。先按本文步骤完成一个小样，用“Key来源明确，只保存在受控位置，验证和排错材料中没有完整凭证”验收，再决定是否扩大范围。
遇到“复制Key后仍提示未认证”应该先检查什么？
检查是否带入空格、换行或错误前缀，并确认当前Provider使用的是同一服务创建的Key；不要在日志中打印完整值
完成后还需要人工检查吗？
需要。AI或执行工具负责推进流程，最终仍要由你根据原始材料、任务规则和“Key来源明确，只保存在受控位置，验证和排错材料中没有完整凭证”完成验收。