Gemini API Key 如何设置访问限制
面向重视密钥安全与防盗刷的开发者。结论：在 Google Cloud 控制台中对 API Key 配置“API 接口限制”（仅限 Generative Language API）与“IP/来源白名单”，即可彻底杜绝密钥被窃取滥用。
# Gemini API Key 如何设置访问限制
<div class="search-intent-box">
<span class="kicker">QUICK TAKE · 核心速览</span>
<p><b>适用对象：</b>在前端代码、开源客户端或云端服务中配置了 Gemini API Key 的开发者。<br>
<b>核心结论：</b>默认生成的 API Key 属于完全无防护状态。登录关联的 Google Cloud 控制台，配置“API 限制（仅限 Generative Language API）”与“应用/IP 白名单限制”，能 100% 阻断黑客跨域盗刷。<br>
<b>前置条件：</b>拥有该 API Key 所绑定的 Google Cloud 项目管理员权限。</p>
</div>
*最后核实与更新日期：2026 年 10 月*
在 GitHub 上开源代码时不小心误提交了 `.env` 文件，或者在前端静态网页中明文嵌入了 API 密钥——这是导致大量开发者面临巨额扣费账单的最常见悲剧。
默认在 Google AI Studio 中生成的 API Key 是**“全局无限制（Unrestricted）”**的，任何人拿到它都可以调用你账号下的全部 Google Cloud 资源。本文为你带来**最专业的 API Key 安全加固实操**。密钥生成请参考[Gemini API Key 官方获取流程](https://www.aihuiyuan.club/articles/how-to-get-gemini-api-key-google-ai-studio)。
---
一、 为什么必须给 API Key 戴上“安全紧箍咒”？
1. **GitHub 全网爬虫扫描：** 恶意黑产拥有遍布全球的代码仓库监听机器人，只要你将未经加固的 Key 推送到公开仓库，通常在 60 秒内就会被黑客提取并用于跑大型脚本；
2. **跨服务滥用风险：** 默认 Key 不仅能调 Gemini，还能调用同项目下的翻译、语音识别、地图等上百个付费 Google Cloud 接口；
3. **配额瞬时耗尽：** 即使是免费层，被黑客脚本盯上后也会瞬间用光你每日 1500 次的调用上限，导致自己业务瘫痪。相关报错见[Gemini API 429 限流排查指南](https://www.aihuiyuan.club/articles/gemini-api-429-too-many-requests-fix)。
---
二、 4 步完成 Gemini API Key 安全限制
```text
打开 Google Cloud Console ➔ 找到当前项目 ➔ 进入“API 和服务” ➔ 点击凭据（Credentials）
➔ 编辑 API 密钥 ➔ 开启【应用限制】与【API 限制】 ➔ 保存生效
```
### 步骤 1：进入 Google Cloud 凭据管理页
1. 访问官方控制台：[Google Cloud Console 凭据管理](https://console.cloud.google.com/apis/credentials)；
2. 在顶部项目切换下拉框中，选择你创建 API Key 时对应的项目名称（通常形如 `Generative Language Client`）。
### 步骤 2：定位目标 API 密钥并进入编辑
在“API 密钥”列表中，找到用于 Gemini 的密钥，点击最右侧的 **编辑（铅笔图标）**。
### 步骤 3：配置“API 限制”（核心关键！）
1. 在页面下方的 **API restrictions（API 限制）** 部分，将默认的“Don't restrict key”切换为 **Restrict key（限制密钥）**；
2. 在下拉多选框中，只勾选 **Generative Language API**（这是 Gemini 模型对应的官方底层 API）；
3. **加固效果：** 哪怕密钥外泄，攻击者也绝对无法调用地图、语音等任何其他昂贵的云端 API！
### 步骤 4：配置“应用程序限制”（按使用场景二选一）
在页面上方的 **Application restrictions** 中：
* **场景 A：仅用于自己本地或专用云服务器** ➔ 选择 **IP addresses（IP 地址）**，填入你的 VPS 固定公网 IP，只有指定 IP 发出的请求才会被放行；
* **场景 B：用于网页端开源客户端** ➔ 选择 **Websites（HTTP 来源）**，仅允许你的个人域名跨域调用。
---
三、 保存并测试安全限制是否生效
完成上述设置后，点击页面底部的 **Save（保存）**：
* 更改通常在 1 至 5 分钟内全球同步生效；
* 尝试在一个未经授权的 IP 或设备上发起一次测试请求，若返回 `403 Forbidden: API key not valid for this IP`，说明安全防御网已牢固建立。
---
密钥安全等级自测表
| 安全防护层级 | 配置状态 | 安全等级 |
| :--- | :--- | :---: |
| **0 级裸奔** | 默认生成，无任何 API 与 IP 限制 | ❌ 极度危险 |
| **1 级防御** | 仅开启【API 限制：仅限 Generative Language API】 | ⭐⭐⭐ 基础安全 |
| **2 级铁壁** | 同时配置【API 限制】+【服务器 IP 来源白名单】 | ⭐⭐⭐⭐⭐ 生产级无懈可击 |
> **延伸阅读：** 若怀疑密钥已遭到盗用，请立即参考 [Gemini API Key 泄露后怎么办：轮换与审计步骤](https://www.aihuiyuan.club/articles/gemini-api-key-exposed-rotation-and-audit)；了解免费额度请看 [Gemini API 免费额度与官方配额说明](https://www.aihuiyuan.club/articles/gemini-api-free-tier-limits-and-quota-check)；产品规格请看 [Gemini Ultra 产品规格与行情](https://www.aihuiyuan.club/?family=gemini&product=gemini-ultra)；全站知识尽在 [AI 订阅与排障指南专栏](https://www.aihuiyuan.club/?view=guides)。