安全指南
安全接入的核心是避免泄露 API Key，并限制凭证的使用范围。所有生产调用都应通过可信服务端发起。
不要在前端暴露 Key
浏览器代码、移动端包和公开静态文件都可被用户检查。请把 BIMHU API 调用放在服务端，并为业务接口增加自己的身份验证和限流。
不要提交到 Git
将 .env 加入 .gitignore，只提交不含真实值的 .env.example。提交前使用密钥扫描工具检查历史。
发现泄露后怎么办？
立即在控制台删除泄露的 Key，创建新 Key，更新部署环境，并检查访问日志和异常用量。不要继续使用已经公开的 Key。
Last updated / 最后更新：