GLM API Key 是调用智谱 GLM 模型的凭证。它看起来只是一串字符，但实际决定了三件事：请求能不能通过鉴权、费用记到哪个账户、泄露后风险有多大。很多接入失败并不是模型或网络问题，而是 Key 的类型不对、存放方式不对，或者创建后从未轮换。

本文按“选类型—创建—保存—轮换—排错”的顺序，讲清官方平台与中商起航 AI 网关两条获取路径，并给出一份可以直接照做的安全配置清单。

说明：智谱、GLM、BigModel 是相关权利人的商标，本文仅作技术说明，与智谱无隶属、代理或授权关系。Key 的创建入口、认证要求和计费口径以智谱开放平台官方文档为准。

一、先分清你需要哪一类 Key

智谱开放平台把个人套餐、团队套餐与标准模型 API 的 Key 分开管理，彼此不通用。创建前先确认用途，否则很容易出现“Key 明明有效，却调不通”的情况。

  • 标准模型 API Key：用于后端服务、脚本、Agent、批处理任务，按实际调用量计费。绝大多数技术接入属于这一类。
  • Coding Plan Key：用于 Claude Code 等编码工具，走的是套餐权益，不适合拿来调通用业务接口。
  • 团队或企业相关 Key：用于多人协作和统一管理，权限与账单归属和个人 Key 不同。

拿 Coding Plan 的 Key 去请求标准 API，常见结果是鉴权失败或提示套餐无权使用该模型。遇到这类报错，先核对 Key 的产品类型，再检查 Key 本身是否复制完整。

二、在智谱开放平台创建 Key

官方路径适合只使用 GLM、希望第一时间用到新模型和新功能的团队。基本步骤如下：

  1. 打开智谱开放平台，完成注册并登录。
  2. 进入控制台的 API Keys 页面，确认当前所在的项目或空间。
  3. 点击新建密钥，按“环境—服务”命名，例如 prod-customer-service。
  4. 复制完整 Key，立即存入密码管理器或服务端密钥管理系统。
  5. 在财务页面确认余额或资源包状态，避免创建成功但无法调用。
  6. 用一条最小请求验证 Key 可用，再写入正式配置。

注意两点：Key 通常只在创建时完整展示，关闭页面后可能无法再次查看；实名认证、企业认证的要求会随产品和政策变化，以页面提示与官方文档为准。

三、通过网关创建 Key

如果团队同时使用多个模型，或者希望统一额度、统一账单、统一发票，可以在中商起航 AI 网关注册。进入 API 密钥页面后新建 Key，设置额度上限和过期时间，再到模型价格确认 GLM 系列的可用模型与计费方式。

网关 Key 只在中商起航的 Base URL 下有效，不能拿去请求智谱官方地址；反过来，官方 Key 也不能直接用于网关。把两套 Key 分开命名、分开存放，是最省事的做法。

四、把 Key 放进环境变量

最危险的做法是把 Key 写进源码、前端 bundle 或聊天记录。推荐用环境变量或密钥管理服务，让代码只引用变量名。

# .env 只放在本地，并加入 .gitignore
GLM_API_KEY=your_key_here
GLM_BASE_URL=https://open.bigmodel.cn/api/paas/v4

import os
from openai import OpenAI

client = OpenAI(
    api_key=os.getenv("GLM_API_KEY"),
    base_url=os.getenv("GLM_BASE_URL"),
)

落地时至少做到：.env 不提交到 Git；生产环境使用云厂商的 Secret Manager、KMS 或容器编排平台的 Secret；CI/CD 使用独立的加密变量；日志里对 Authorization 头做脱敏；前端代码永远不出现服务端 Key。

五、权限隔离、轮换与审计

一把 Key 走天下，短期省事，长期难排查。建议按下面的方式拆分。

做法 解决的问题 落地建议
测试与生产分开 测试流量污染账单、误删数据 两套 Key，两套额度
每个服务一把 Key 无法定位调用来源 按服务名或仓库名命名
设置额度上限 异常调用快速烧钱 在控制台配置限额与告警
定期轮换 长期泄露风险 建议按季度轮换，交接立即吊销
保留调用日志 纠纷与故障复盘 记录时间、模型、用量，不记录明文 Key

轮换时不要直接删除旧 Key。先创建新 Key，灰度切换流量，确认新 Key 的额度、模型权限和账单都正常，再吊销旧 Key。这样即使新配置有问题，也能快速回退。

六、401 与其他常见报错

HTTP 401 只说明“鉴权没通过”，具体原因要看响应体里的业务码。智谱官方错误码中，1000 表示身份验证未通过，1001 表示请求头缺少认证信息，1003 表示 Token 失效，1005 表示账号启用了二次认证。排查时按顺序做：

  1. 确认请求头是 Authorization: Bearer <key>，没有多余空格或引号。
  2. 确认复制的是完整 Key，没有把名称或掩码当成 Key。
  3. 确认 Key 类型与接口匹配，标准 API 与套餐 Key 不要混用。
  4. 确认 Base URL 与 Key 的归属一致，官方 Key 配官方地址，网关 Key 配网关地址。
  5. 确认账号状态正常，欠费会返回 1113，限流会返回 1302 或 1305。

另外，1211 表示模型不存在，通常是模型名拼错或该模型未开通；1261 表示输入过长，需要压缩上下文或分段。把业务码打进日志，排错会快很多。

七、上线前检查清单

  • Key 只存在于服务端或密钥管理服务中。
  • 测试、生产、CI 使用不同 Key。
  • 每把 Key 都有额度上限和负责人。
  • 已配置余额不足与用量突增告警。
  • 已演练一次 Key 吊销与替换。
  • 日志中不出现完整 Key、手机号等敏感信息。
  • 团队成员离职或交接时，相关 Key 已回收。

八、常见问题（FAQ）

1. GLM API Key 在哪里创建？

登录智谱开放平台后，在控制台的 API Keys 页面创建。若使用中商起航 AI 网关，则在网关控制台的 API 密钥页面创建，两套 Key 不通用。

2. Key 可以放在前端或小程序里吗？

不可以。前端代码可以被用户查看，任何写入前端的 Key 都应视为已泄露。正确做法是前端请求自己的后端，由后端持有 Key 并转发模型调用。

3. 一个 Key 可以给多个项目共用吗？

技术上可以，但不建议。共用 Key 无法区分调用来源，一处泄露会影响全部业务，账单也难以分摊。至少按服务和环境拆分。

4. Key 泄露了怎么办？

立即在控制台吊销或删除该 Key，创建新 Key 并更新服务端配置；同时检查账单和调用日志，确认是否有异常用量；必要时联系平台客服说明情况。

5. 官方 Key 和网关 Key 能混用吗？

不能。两者的鉴权体系、Base URL 和计费账户都不同。混用最常见的表现是 401，其次是请求到了错误的服务地址。

相关阅读