密钥不该随提示词旅行：上下文治理的第一判据

两条上下文路径在同一份需求里给出不同安全结果

把一份真实需求交给编码代理之前，先清点上下文里究竟装了多少凭据。一个常见场景是接入第三方支付接口时出现签名错误，工程师把整段调试日志连同访问令牌贴进提示词，请代理定位问题。看起来只是抄近路，实际是把一段能直接调用生产接口的秘密交给了链路上的每一位经手者。于是同样的代码质量目标，分化出两条截然不同的做法。

• 把凭据写进上下文：令牌直接贴进提示词、说明文档或共享配置，代理一次性看见全部取值，排错时顺手复制的片段也随之进入会话，轮换时要在多处重复修改，遗漏即长期暴露。
• 把凭据留在上下文之外：代理只看到变量名、用途说明与权限边界，真实值由运行时、密钥管理服务或本地凭据工具在调用瞬间注入，会话记录里从不出现取值。

并排读这两条路径，真正的差别不在代码风格，而在泄露半径。前者的泄露半径等于上下文被复制的份数，后者的泄露半径止于执行环境本身。还要注意一个中间态：把取值打码后仍粘贴大段原始日志，日志里往往残留过期令牌、内部主机名与用户标识，这些同样属于不该进上下文的内容，脱敏的第一原则是只保留与复现问题直接相关的最小事实。

明文密钥的暴露面沿着日志、会话与第三方链路同时展开

危险从不只停留在模型一侧。代理的会话记录、调试日志、崩溃转储、粘贴进工单的提示词片段，都会让令牌多出一份副本；只要其中一份被截屏、被同步到共享目录、被误提交进版本库，泄露就已成立，而模型能力与泄露后果毫无关系。

更棘手的是副本的寿命。即使删除了工作区里的取值，历史记录、备份快照与缓存条目仍可能保留旧文本；轮换令牌只能作废旧值，却抹不去已经流转的副本。因此演练应当包含一次凭据泄露的复盘：统计要作废多少个值、要通知多少个系统、要更换多少处引用，这个数字本身就是暴露面的度量。

链路上的每一跳都在读同一份上下文。质量优先的 API 中转会把请求转发给请求里写明的那个官方模型名称，不做替换，这使模型选择可以被核对，但它依旧是可见上下文的经手方，凭据不应随提示词同行。以 Claude Sonnet 5.5 或 GPT-5.6 Sol 为例，模型再强也只是在读取，而不是替你保管秘密。

计费口径同样来自这条链路。BestRelay 采用按量计费，以供应商上报的 token 数为准，缓存读取与缓存写入分开计价，成员邀请他人充值后可获得返佣。值得记住的判断是：上下文体积既是安全变量，也是账单变量，两者共用同一个源头，任何一次冗余粘贴都会同时放大两者。

权限分层让代理只看见用途说明而看不见真实值

把密钥移出上下文之后，还要回答一个更硬的问题：执行环境究竟能碰到哪些权限。有效做法是把凭据拆成最小作用域的短时令牌，按环境分离账号，让读代码的权限与读生产数据的权限互不覆盖，并把注入动作压到单次调用之前，任务一结束就让令牌失效。

• 短时有效：令牌寿命以分钟或单次任务计，泄露后的时间窗被压缩到可忽略，续期依赖显式审批而非静默延长。
• 按用途收窄：只授予当前任务需要的一个接口、一个仓库或一个只读范围，签名、上传与删除权限分开申请。
• 默认拒绝：未显式允许的操作一律失败，代理不会因为顺手而越界，失败信息只暴露规则而不暴露取值。
• 输出脱敏：工具返回值经过过滤，响应头、调试堆栈与环境转储里的凭据不进入回传给模型的文本。

这四条合起来的效果是，上下文里只需要保留“这里需要一个具备某种能力的凭据”这一层语义。代理据此决定调用方式，却无法在会话里复述出真实取值。更进一步，把权限申请本身设计成一次可审计的事件，谁申请、给谁用、持续多久都留下记录，日志只记标识符，绝不记取值。

五条判据决定一套上下文治理方案是否值得长期使用

方案落地后需要可复核的标准，而不是靠感觉。建议把下面五条判据写进代码评审清单，逐条给出可观察的证据，任何一条不达标，方案就不该进入长期流程。

• 泄露半径：一次凭据意外出现在文本中，最多污染多少份副本、多少个系统，能否在半小时内圈定范围。
• 可见性：代理、日志与中转链路各自能看到的最小内容是否被明确界定，边界是否有工具化检查而非口头约定。
• 可轮换性：更换一次令牌需要改动几处，能否在不改代码的前提下完成，旧值能否立即全线作废。
• 可审计性：能否从记录中查清谁在何时用了哪个凭据，且记录本身不含取值，审计结果能否定期抽查。
• 上下文成本：为了完成任务塞进会话的文本是否必要，删掉之后能力是否真的下降，删除是否带来可测量的收益。

把这五条按顺序打分，往往立刻暴露出取舍倾向。追求可审计性会要求更完整的日志，而可审计与可见性冲突时，正确方向是让日志记录标识符与用途，而不是记录取值；追求上下文成本会推动裁剪历史，但裁剪不应牺牲复现问题所需的最小事实。判据之间的张力需要被写下来，团队才不会在半年后回到明文粘贴的老路。

缓存读写与按量计费让上下文体积变成真金白银

安全与成本在这里被同一把尺子丈量。缓存读取能显著压低重复请求的费用，但前提是上下文前缀稳定；把随机的调试信息、过期的密钥片段或不断变动的临时文本塞进前缀，既破坏缓存命中，又让敏感内容长期驻留在被反复读取的位置。

更稳妥的次序是：先把密钥移出上下文，再裁剪不必要的文档与历史，最后才考虑把稳定前缀交给缓存。按量计费的模型下，每一轮裁剪都会同时降低泄露半径与账单；缓存读取与写入分开计价则提醒我们，重复并不等于免费，命中一次的收益要和写入一次的成本一起算。

团队可以把这套次序固化成发布前的一道检查：上下文里不再有取值，历史只保留与目标相关的事实，稳定模板与易变信息分层组织。当这三项同时成立，代理给出的补丁质量更稳定，账单曲线也更可预测，安全与效率第一次指向同一个方向。

如果你正把这套取舍写进工程规范，不妨创建一个 BestRelay 账号，跑一遍真实请求链路再做决定。