exe.dev 博客：把静态密钥放进反向代理，Agent 时代更该如此

davidcrawshaw · x · 2026-11-04

exe.dev 博客提出：与其把 API key 等静态密钥放在应用所在 VM 里，不如交给 HTTP 反向代理统一管理，通过代理注入/管理 header 来对接第三方服务，作者连 OAuth secret 也这么做。文章指出密钥问题的根源从来不是 Agent，而是 API key 权限过大——持有 key 等于拥有转授他人的能力；而 Agent 让问题更尖锐：有的模型看到 key 直接罢工，有的把 key 写入跨会话记忆，用已吊销的 key 烧掉宝贵上下文。把密钥管理上移到代理层，可避免密钥暴露给模型与应用代码。