如何在React Native安卓应用中安全调用OpenAI API且避免API令牌被盗

1. 轻量代理后端（最优选择） #

不用实现所有OpenAI API方法，仅做请求转发即可，完全隔离API密钥，安全且开发成本极低：

• 核心逻辑：客户端将请求发送到你的代理后端，后端带上OpenAI密钥转发请求到官方API，再把响应返回给客户端。
• 示例代码（Node.js/Express）：

const express = require('express');
const axios = require('axios');
const app = express();
app.use(express.json());

// 密钥存在后端环境变量中，禁止硬编码
const OPENAI_API_KEY = process.env.OPENAI_API_KEY;
const OPENAI_BASE_URL = 'https://api.openai.com/v1';

// 转发所有POST请求到OpenAI API
app.post('/*', async (req, res) => {
  try {
    const openaiResponse = await axios({
      method: req.method,
      url: `${OPENAI_BASE_URL}${req.path}`,
      headers: {
        'Authorization': `Bearer ${OPENAI_API_KEY}`,
        'Content-Type': 'application/json',
      },
      data: req.body,
    });
    res.status(openaiResponse.status).json(openaiResponse.data);
  } catch (err) {
    const errorData = err.response?.data || { error: '请求处理失败' };
    res.status(err.response?.status || 500).json(errorData);
  }
});

// 同理处理GET等其他请求方法
app.get('/*', async (req, res) => {
  try {
    const openaiResponse = await axios({
      method: req.method,
      url: `${OPENAI_BASE_URL}${req.path}`,
      headers: {
        'Authorization': `Bearer ${OPENAI_API_KEY}`,
      },
      params: req.query,
    });
    res.status(openaiResponse.status).json(openaiResponse.data);
  } catch (err) {
    const errorData = err.response?.data || { error: '请求处理失败' };
    res.status(err.response?.status || 500).json(errorData);
  }
});

const PORT = process.env.PORT || 3000;
app.listen(PORT, () => console.log(`代理服务运行在端口 ${PORT}`));

• 客户端改造：将原本调用https://api.openai.com/v1/xxx的地址替换为你的代理后端地址（比如https://your-proxy-domain.com/v1/xxx），无需修改请求参数和逻辑。
• 额外优势：可在后端添加请求频率限制、用户身份校验（如JWT）、请求日志等，进一步防止滥用。
• 部署：用Vercel、Railway、Heroku等平台可免费部署这类轻量服务，操作简单。

2. 严格限制OpenAI API密钥（临时补充方案） #

如果暂时不想搭后端，可通过OpenAI控制台的限制功能降低泄露风险，但无法彻底避免：

• 权限限制：创建密钥时仅勾选你需要用到的API权限（比如只允许chat.completions），禁止高风险或不需要的API调用。
• 消费限额：在OpenAI后台设置每月消费上限和每分钟请求次数限制，就算密钥泄露，损失也能控制在可控范围内。
• IP限制：如果你的用户群体集中在特定IP范围（比如企业内网），可设置密钥仅允许该IP段调用，但移动端动态IP场景不适用。

注意：这个方案只是降低风险，移动端的密钥仍可能被逆向提取，仅适合临时测试或小众场景。

3. 用户自主提供API密钥（多用户场景） #

如果你的应用面向技术用户，可让用户使用自己的OpenAI API密钥：

• 引导用户在OpenAI控制台生成个人密钥，然后在你的应用中输入并存储（存储在用户设备本地，风险由用户自行承担）。
• 应用直接用用户提供的密钥调用OpenAI API，你无需承担任何API费用和密钥泄露风险。
• 缺点：增加用户操作门槛，适合面向开发者或熟悉OpenAI的用户群体。

内容的提问来源于stack exchange，提问作者YardenST