Catton IT 分享

2026年3月12日星期四

保護 API Key 不被盜用

保護 API Key 不被盜用是自動化工作流中最關鍵的一環，尤其在你頻繁使用 n8n 處理 SAP 與股票資料時。如果金鑰外洩，不僅可能產生高額帳單，還可能導致敏感資料外流。

以下是針對API 安全防護指南：
1. 核心防護：設定 API 金鑰限制 (Restrictions)

這是最重要的步驟。即使金鑰被偷，只要有設定限制，盜用者也無法使用。

原廠 API 限制 (API Restrictions)：看原廠是否有功能可以作限制，即使金鑰外洩，盜用者也無法用你的金鑰去開啟付費服務。

應用程式限制 (Application Restrictions)：如果你的服務是架在固定 IP 的伺服器上，api服務廠商可能有白名單可以限制

2. 應用程式或工具中的安全實踐

使用內建憑證管理 (Credentials)：儘量絕對不要參數欄位或 Code 直接寫死 (Hardcode) API Key。

禁止公開分享：在把程式或設定檔案分享他人或上傳到 GitHub 前，請務必檢查是否包含敏感資訊（建議導出時不要包含憑證）。

3. 預警與預算控制

原廠 API 設定預算警報 (Budget Alerts)：看原廠是否有功能預算。例如設定「當月消費達到 500 元台幣」時發送簡訊與 Email 報警。

原廠 API 配額限制 (Quotas)：例如限制每天最多只能呼叫 1,000 次，這樣萬一被盜用，損失也會被控制在一定範圍內。

4. 針對 2026 年新威脅的建議

定期輪換金鑰 (Key Rotation)：建議每 3-6 個月更換一次 API Key。

自動掃描：如果你使用 GitHub 管理代碼，請開啟 "Secret scanning"。一旦你意外上傳了含金鑰的代碼，GitHub 會立刻通知你並建議撤銷金鑰。

Google AI Studio 專案新增設定限制每月使用費

有在用 Gemini API 可以注意 AI Studio Spend的頁面出現了可以限制每月的費用，原本要到 google console上設定預算的警告及每個 api的 RPM ，之後應該可以在這邊搞定，避免其他人取得你的 api key 亂用。

他API金鑰遭竊「2天噴掉260萬」！ 3人小公司面臨破產危機

n8n AI Agent node 採用那個模型 ?

新版的 AI Agent node 可以多選擇一個 model 作備用，但最主要的 model要選那一個，我從提示詞 prompt 要放在那而決定要用那個模型

2026年2月9日星期一

RAG 長文搜尋

依目前的理解，一般的 RAG會先預設一個字的長度作文章切片，切片需要作 overlap 後再呼叫 embedding api 取得 vector。

2026年2月6日星期五

不同 AI 公司 API 付費方式

服務商	主要付費方式	特色與門檻
OpenAI	預付制 (Prepaid)	需先購買額度 (Credits)，系統會隨用隨扣。額度通常有 1 年效期。
Google (Gemini)	混合制 / 後付制	AI Studio 有免費額度（數據會被拿去訓練）；Google Cloud 則採後付制，月底結帳。
Anthropic (Claude)	預付制 (Prepaid)	分為不同的 Tier（等級），儲值越多、等級越高，每分鐘調用頻率限制 (Rate Limits) 越寬鬆。
xAI (Grok)	預付制 (Prepaid)	與 OpenAI 類似，需先充值點數。特色是提供較高額度的免費試用金給新開發者。
GroqCloud	隨用隨付 (Pay-as-you-go)	強調高速推論，通常需綁定信用卡，依據實際消耗的 Token 數量按月或按額度扣款。