两类事件都按“先止血、再溯源、后补发”处理。止血靠网关能力：Key 可单独吊销、用户可单独停用，不必动上游账号，更不必全员换 Key——这正是团队用网关而非共用上游凭据的核心收益（botmonster 的分析亦把“per-user quotas、token-level accounting、one place to revoke a key”列为团队网关的正当价值）。

适用场景：Key 疑似进了公开仓库/聊天记录，或成员离职、转岗、外包合作结束时。

安全 Key泄露 离职回收 吊销 ACL

操作步骤

  1. 泄露：立即吊销/停用该 Key（不要先开会）；用条目 11 的四维账查该 Key 近期用量有无异常突增与陌生 model/时段。
  2. 若异常消耗已发生：再停用该成员的全部 Key 并保留记录页证据，之后才补发新 Key（新 Key 换名、重新限分组）。
  3. 离职：停用用户 + 吊销其名下全部个人 Key；其名下的“项目 Key”要逐把确认归属——项目 Key 不随人走的，必须过户到接手人名下并换发。
  4. 转岗：按新岗位的分组权限重新发 Key，旧 Key 回收，不做“权限只加不减”。
  5. 定期（建议每月）盘点：无主 Key、长期未用 Key、权限超出岗位的 Key，逐把清理。

配置说明

已核验的 Sub2API 安全相关项：API Key ACL 与可信代理配置（security.trust_forwarded_ip_for_api_key_acl、需把 server.trusted_proxies 收紧为直连代理的精确 CIDR；legacy 转发头接管默认开是为升级兼容，生产应按 README 的 EDGE_SECURITY 指引收紧）。借鉴 New API（明确标注）：其 token 支持 AllowIps、模型限制、过期与分组限制等字段级控制——LIN 版本 Sub2API 是否有等价字段未核验，若有，应给生产/脚本类 Key 加 IP 与有效期。⚠️ “吊销/停用”的确切按钮名未核验，按 LIN 版本后台为准。

注意事项

  • ⚠️ 泄露后只“提醒大家注意”而不吊销——用量账会替你记录后果。
  • ⚠️ 离职只删账号不查项目 Key：人走了，脚本里的 Key 还在继续花钱。
  • ⚠️ 把管理员凭据与成员 Key 混发：管理员侧泄露的半径是整个账号池。

来源：https://botmonster.com/ai/sub2api-ai-subscription-api-gateway/