安全建议

API Key

• 永远不要把 API Key 放到前端代码里。
• 不要把 API Key 写进公开文档、截图或日志。
• 不同项目使用不同 Token。
• 发现泄露后立即停用旧 Token。

服务端调用

推荐让浏览器请求你自己的后端，再由后端读取环境变量并调用 XAI.KG。

Browser -> Your Server -> XAI.KG

这样可以避免 API Key 暴露给用户浏览器。

批量任务

批量任务建议设置并发上限、重试退避和预算监控，避免异常循环造成额度快速消耗。