Xác thực
Bảo vệ khóa và gửi đúng header.
Dùng biến môi trường cho khóa API. Không đưa khóa vào mã nguồn, URL, ảnh chụp hay log. Chỉ gửi khóa tới máy chủ tin cậy; thay khóa nếu bị lộ.
Cài đúng thư viện theo ví dụ, dùng runtime được thư viện hỗ trợ và thiết lập STALI_API_KEY trong môi trường. Thay model mẫu bằng model hiện có phù hợp giao thức.
Xác thực
Chấp nhận cả hai kiểu tiêu đề xác thực, dùng kiểu nào cũng được:
x-api-key: sk-cad-... # kiểu Anthropic
Authorization: Bearer sk-cad-... # kiểu OpenAIKey mới được lưu dưới dạng mã băm để xác thực và mã hóa AES-256-GCM để chính chủ có thể xem hoặc sao chép lại trong bảng điều khiển. Key cũ được tạo trước tính năng này không thể khôi phục. Mỗi tài khoản tối đa 10 key hoạt động cùng lúc.
Nên tạo mỗi máy hoặc mỗi ứng dụng một key riêng: khi lộ key bạn chỉ cần thu hồi đúng key đó, và trang Sử dụng sẽ tách được chi phí theo từng key. Không dán key vào mã nguồn đẩy lên Git — hãy đặt trong biến môi trường hoặc tệp cấu hình nằm ngoài kho mã.
Ví dụ được rà soát ở mức mã và kiểm thử cục bộ; không khẳng định đã chạy trên mọi phiên bản ứng dụng. Hãy kiểm tra cấu hình, gửi một yêu cầu nhỏ và xác nhận usage trước khi dùng thật.