AI API 地区测试中，如何留存证据并保护密钥与业务数据

地区测试要留下能复现的证据，但证据里最容易夹带密钥、用户数据和业务内容。原则是先分类再采集：只留判断归因必需的字段，能合成的一律不用真实数据，密钥只在运行时注入。代理 IP 的主机、端口和账号属于接入参数，可以留结构，不能留明文口令。示例中的字段名与脱敏方式按通用实践整理，具体合规要求以所在组织与目标服务的条款为准。

测试记录应该保留哪些信息、隐藏哪些信息？

为便于复现又控制泄露面，记录时区分必要字段与敏感内容：

• 类别：请求 ｜ 应当保留：URL 路径、方法、状态码、耗时、重试次数 ｜ 必须删除或替换：Authorization、Cookie、API key
• 类别：响应 ｜ 应当保留：状态码、错误类型、上游 request id、限流 header ｜ 必须删除或替换：完整响应正文、模型输出内容
• 类别：身份 ｜ 应当保留：出口 IP 的国家、城市、ASN、IP 类型 ｜ 必须删除或替换：账号邮箱、手机号、账单信息
• 类别：时间 ｜ 应当保留：请求开始与结束时间、时区 ｜ 必须删除或替换：精确到人的操作时间线

request ID 可帮助服务方检索请求，但其敏感等级由服务方定义，也可能关联账号、时间或请求内容。对外分享前核对其可见范围，必要时脱敏或通过受控工单提供。代理接入记录可保留必要结构，账号口令不得明文留存。

怎么避免测试记录暴露代理凭据和 API 密钥？

测试使用能稳定返回的最小请求、测试账号和无真实含义的占位数据；不要把个人信息或生产文档放入链路。密钥在运行时从环境变量或密钥管理服务注入，不写入脚本、配置文件或截图。

• 用环境变量或密钥管理服务在运行时注入；
• 测试账号与生产账号分离，测试密钥单独签发；
• 每个密钥标注用途和有效期，测试结束即吊销；
• 共享屏幕和录屏时，先确认终端历史与环境变量面板不在画面内。

截图、终端历史和调试面板也要纳入检查，尤其避免展示完整认证头或代理 URL。

日志、抓包和截图分别怎么脱敏？

脱敏应覆盖采集、存储和导出：

• 传输层：抓包工具只保留需要的字段，关闭 body 记录；
• 存储层：日志写入前用正则替换 Authorization、api-key、token 等字段值；
• 导出层：对外分享前再检查一次 header 和 URL query，签名参数常藏在 query 里。

导出前再复查一次，避免模板带出原始字段。

导出前可以跑一条基于字样的命令做初筛，但要清楚它的边界：它只能命中少数常见写法，大小写变体、URL 编码、JSON 转义、云厂商密钥格式和随机高熵 token 都可能漏过；反过来，命中也可能只是普通文本。它既不能证明日志已脱敏，也不能替代人工复核。

```bash
grep -Ei 'sk-|bearer |password|api[-_]?key|token=' draft.log
```

比单靠关键词搜索更稳妥的方式，是在采集端按字段白名单留存，并结构化脱敏 Authorization、Cookie、URL query、代理认证和响应正文。对外分享前再用组织批准的 secret scanner 扫描，并人工复核命中项及抽样内容；代理账号密码只在运行时注入。

测试证据应保存多久、可以分享给谁？

留存期限应由使用目的、数据敏感级别和组织策略共同决定。

问题关闭后，按组织的数据分类和保留策略处置原始抓包、完整日志与结构化结论。若需要自动清理，应明确负责人、期限和清理记录，并确认满足审计或事件调查要求。

跨团队共享时给出最小必要集，不直接转发原始文件。对外提交工单时，只提供 request id、时间、状态码和链路指标。需要长期留存的，只留结构化记录表，不留可回放的原始流量。

发现密钥泄露后，应该先做什么？

发现疑似泄露后，按组织应急流程处理：

1. 立即禁用并轮换受影响的密钥；
2. 检查调用记录，确认是否有异常请求、地区或用量；
3. 清理日志、工单、截图、代码仓库和本地缓存中的可控残留，同时保留事件证据；
4. 通知安全负责人；影响范围不清时升级至内部应急流程。

随后确认同批次凭据是否受影响，通知使用方更新密钥，并记录时间线和影响范围。

FAQ

Q：脱敏后的日志可以长期保存吗？

A：按组织的数据保留期限执行，并限制访问范围；脱敏不代表没有重识别风险。

Q：请求 ID 算敏感信息吗？

A：视服务方定义而定。对外共享前应检查其是否可关联账号、请求内容或内部系统。

Q：测试截图能否直接放进工单？

A：先检查页面、地址栏、通知、请求头和调试面板是否含凭据、个人信息或业务数据，再决定是否脱敏后入单。