上传项目至GitHub如何隐藏API KEY并保证项目正常运行？

只要配置逻辑设计合理，隐藏API Key完全不会影响程序正常运行。本质上你只是把原本硬编码在业务代码里的密钥值，改成从外部独立的配置渠道读取，核心的API调用逻辑没有任何改动，不管是你本地调试运行，还是其他用户拉取代码后配置自己的密钥，程序都能按预期工作。

• 第一步：剥离代码里的硬编码密钥
  把所有直接写在代码里的真实API Key全部删掉，替换成从环境变量或者独立配置文件读取的逻辑。比如Python项目不要写API_KEY = "sk-abc123456"，改成import os; API_KEY = os.getenv("PROJECT_API_KEY")；Node.js项目对应写法为const apiKey = process.env.PROJECT_API_KEY。如果选择用配置文件存储，就单独创建一个本地配置文件（比如config.json、.env）专门存密钥值，代码统一从这个文件读取配置。
• 第二步：配置Git忽略规则避免敏感文件提交
  在项目根目录创建.gitignore文件，把你存密钥的本地配置文件名（比如.env、config.json）写进忽略列表，Git提交时会自动跳过这些文件，不会把你的真实密钥上传到公开仓库。

  注意：不要等提交过带密钥的代码之后再补.gitignore规则，Git的历史提交记录里仍然会留存密钥信息。如果已经手滑把密钥传到公开仓库，第一时间去对应API服务商后台吊销泄露的旧密钥，生成新密钥替换后再清理仓库的提交历史，不要抱有侥幸心理，公开仓库的敏感信息会被自动化爬虫在几分钟内抓取盗刷。

• 第三步：提供配置模板降低其他用户的使用门槛
  在仓库里上传一份不带任何真实密钥的配置模板文件，比如命名为.env.example或者config.example.json，文件里只标注清楚需要填写的配置项名称，比如内容为PROJECT_API_KEY= # 请在此处填入你自行申请的对应服务API Key。同时在项目README里写清楚简单的配置步骤：其他用户拉取代码后，只需要把模板文件复制一份，重命名为程序实际读取的配置文件名，填入自己申请的API Key即可正常运行程序，不会有任何功能障碍。

• 不要尝试用Base64转码、简单字符串混淆的方式把密钥藏在代码里，这类防护几乎等于透明，有基础开发能力的人拿到代码几秒钟就能解码拿到真实密钥。
• 如果项目包含前端页面，绝对不要把API Key写在前端代码里，前端加载的所有代码用户都可以通过浏览器开发者工具直接查看，涉及密钥的API调用要放到后端服务层处理，密钥存在后端的环境变量中。
• 不要把密钥写在仓库的README、issue、PR讨论区等公开位置，所有需要填密钥的地方都引导用户用自己申请的个人密钥。

内容的提问来源于stack exchange，提问作者DevFollow