如何共享使用私有API key的程序且不泄露对应密钥

不存在能让密钥完全不被用户提取、同时程序还能在用户本地正常运行的方案。只要密钥需要在用户的设备上完成API请求，就必然会在内存、网络请求等环节暴露，你只能提升用户提取密钥的门槛，无法100%杜绝。

推荐方案（无合规风险，实现简单） #

如果API服务商允许普通用户自行申请密钥，优先选这个方案，完全规避密钥泄露风险：

• 把代码里的硬编码密钥改成从本地配置文件/环境变量读取，你自己的密钥不要提交到代码仓库
• 仓库中只上传配置模板，比如新建config.example.py写入示例内容API_KEY = "此处替换为你申请的API密钥"，用户下载代码后自行把模板重命名为config.py填入自己的密钥即可使用
• 记得把config.py加入项目的.gitignore文件，避免你本地的真实配置被误提交到仓库
• 也可以用python-dotenv库实现，让用户在根目录新建.env文件写入YOUR_PRIVATE_API_KEY=xxx，代码中通过os.getenv("YOUR_PRIVATE_API_KEY")读取密钥，同样把.env加入.gitignore

需内置个人密钥的可选方案（仅提升提取门槛） #

如果你坚持要把自己的密钥内置到程序里不想让用户自行申请，可以选择以下方案提升密钥提取难度：

• 把密钥拆分成多个字符串片段，分散存放在代码的不同模块中，运行时再拼接，同时可以对片段做Base64编码、简单异或运算等混淆处理，避免密钥明文直接出现在代码常量里，简单示例：

import base64
p1 = "YXBpX2tleV9wYX"
p2 = "J0XzEyaDNqNGs1bD"
p3 = "ZuN3A4bTluMG8="
api_key = base64.b64decode(p1 + p2 + p3).decode()

• 把密钥读取和API请求的核心逻辑用Cython编译成二进制扩展文件（Windows下为.pyd，Linux/Mac下为.so），用户只能拿到编译后的二进制文件，无法直接从源码中读取密钥，不过用户依然可以通过内存dump、抓包等方式提取密钥，只是难度更高
• 如果你有个人服务器，最安全的方案是做一层代理转发：所有用户端的API请求都先发送到你的服务器，由你的服务器携带私有密钥请求目标接口，再把结果返回给用户，这种方案下密钥完全存储在你的服务端，用户完全接触不到密钥，唯一的成本是你需要承担服务器运维和流量开销

提示：如果对应的API服务商条款明确禁止将私有密钥共享给第三方使用，不建议你内置密钥分发，否则可能会被服务商封禁密钥，甚至承担对应的合规责任。

内容的提问来源于stack exchange，提问作者Clockknight