一次编码代理会话里的密钥边界

让编码代理修复一次接口调用，往往需要代码、错误信息和测试结果，却不需要真实密钥。问题在于，凭据可能藏在配置文件、终端输出或请求日志里，随着一次看似普通的排查进入模型上下文。

下面把两种工作方式并排记录：一种让代理直接接触凭据，另一种让代理描述任务，由受限的执行环境完成认证。比较的重点不是哪种工具更聪明，而是秘密经过了哪些边界。

§ 任务说明：交出凭据，还是交出接口约定

直接接触：把完整请求连同认证头粘贴给代理，要求它复现错误。这样启动很快，但密钥也进入了对话；如果会话被保存、导出或用于后续交接，泄露面会继续扩大。

隔离执行：提供请求结构、字段说明和经过脱敏的响应，把认证值替换为明确的占位符。真实请求由独立工具执行，只返回排查需要的状态码和响应字段。

代理需要知道认证方式，不代表它需要知道认证值。排查权限错误时，先核对权限范围、目标地址和密钥状态，而不是默认展示密钥原文。

§ 配置文件：忽略读取，还是限制访问

直接接触：将真实凭据放在项目的环境配置文件中，再依赖忽略规则提醒代理不要读取。这个办法方便，但忽略规则通常不是权限控制；代理仍可能通过终端命令、搜索工具或其他脚本接触文件。

隔离执行：仓库仅保留变量名和虚构示例，把真实凭据放在代理无法访问的凭据存储或独立服务中。代理工作目录内不出现生产密钥，也不挂载无关的个人配置目录。

版本控制忽略、代理文件排除和操作系统访问控制解决的是不同问题。应检查实际工具权限，而不是把一份忽略清单当成完整的安全边界。

§ 环境变量：不写进提示词，是否就够了

直接接触：把密钥注入代理启动进程的环境变量，认为它没有出现在聊天框里，因此不会进入上下文。但拥有终端能力的代理可能打印环境、读取子进程配置，或在调试输出中间接暴露凭据。

隔离执行：由单独的执行服务持有密钥，只开放范围明确的操作，例如调用指定接口或运行固定测试。接口不接受任意命令，不返回认证头，也不允许调用者自行指定转发目标。

环境变量能减少硬编码，却不自动实现上下文隔离。如果代理和密钥处在同一权限域，就应按“代理可能读取”来评估，而不是按“目前没有读取”来评估。

§ 调试反馈：完整日志，还是最小证据

直接接触：把完整终端记录交给代理，其中可能包含认证头、带签名的地址、数据库连接串或用户数据。即使源码没有秘密，运行时输出也可能把秘密带回来。

隔离执行：在输出进入代理之前，按允许清单保留必要字段，并对认证信息进行遮盖。优先返回错误类型、状态码和可安全公开的请求标识，而不是整个请求对象。

正则脱敏可以作为补充，但不能保证识别所有秘密。还应检查异常堆栈、重试日志和测试快照，并用虚构凭据验证过滤流程，避免测试本身造成泄露。

§ 统一网关：减少配置，还是消除风险

直接接触：为不同工具分别配置多组上游密钥，代理可能在多个位置遇到凭据。排查接入问题时，也容易复制包含秘密的配置片段。

集中接入：Vana API 提供统一端点 https://api.vanaapi.com，兼容 OpenAI 接口，同时支持 Anthropic Messages 和 Gemini 原生协议，可用于 Claude Code、Codex、Gemini CLI 以及 OpenAI SDK。这有助于统一接入配置，但不意味着接入密钥可以进入代理上下文。

网关改变了请求路径，并没有取消凭据保护的责任。仍需审查实际请求经过哪些服务、工具会记录什么，以及哪些进程能读取密钥。若要验证现有工具的接入方式，可以创建一个 Vana API 账户，先在隔离环境中完成最小测试。

§ 收尾检查：删除文本，还是撤销能力

直接接触：发现密钥进入上下文后，只删除聊天消息或本地文件。这样可能减少后续可见性，却无法证明历史日志、会话副本和缓存中的内容已经消失。

隔离处置：按凭据已经暴露来处理，及时撤销或轮换，检查使用记录，再修复导致泄露的输入路径。能够限制权限、有效期和测试资源范围时，应提前设置。

• 开始前：确认代理能读哪些文件、环境变量和工具输出。
• 执行中：让代理获得完成任务所需的结果，而非认证秘密。
• 结束后：检查日志与改动，清理临时凭据；发现暴露时执行轮换。

更可靠的边界，不是要求代理记住“不要展示密钥”，而是让它在完成任务的过程中根本拿不到密钥。