密钥泄露的路径通常比想象中日常：前端打包、日志打印、错误上报、仓库提交。文章按生命周期给出防护措施——签发、分发、使用、轮换与吊销，并说明服务端代理与最小权限在实际项目里的落地方式。

前端直调必然泄露密钥，区别只是时间。文章说明泄露的具体路径与检测方式，给出后端代理转发、限额与鉴权的改造步骤，并讨论边缘函数作为代理时的适用边界与限制。

注入防御不能只靠关键词过滤。文章给出输入清洗、指令与数据隔离、工具权限收敛、输出校验的分层方案，逐层说明能挡住什么、挡不住什么，并给出可落地的验证用例。