ios - 聊天 GPT OpenAI api key 安全问题

Question

我在 iOS 应用程序中使用了 chat gpt open ai API，他们的 https API 需要带有 API key 的 header 中的授权 key 。

curl https://api.openai.com/v1/completions \
-H "Content-Type: application/json" \
-H "Authorization: Bearer YOUR_API_KEY" \
-d '{"model": "text-davinci-003", "prompt": "Say this is a test", "temperature": 0, "max_tokens": 7}'

https://platform.openai.com/docs/api-reference/making-requests

我已经尝试使用嗅探器应用程序“Http Checker”来检查 api key 是否可以被嗅探并且是否很容易被解码。

避免此 API key 暴露的解决方案是什么？正如他们的 api 文档明确指出的那样

-H "Authorization: Bearer YOUR_API_KEY" \

因此，任何使用 iOS 应用程序的人都可以嗅探并使用 API_KEY

还有多种其他方法可以将开放的 ai API 移动到云功能、自定义服务器等，但如果有人直接将 API 集成到移动应用程序中，有没有办法让这个 API_KEY 不能直接使用第三方应用程序访问？

Answer 1

嗯，凭据是通过 HTTPS 传输的。因此，不是每个人都可以嗅探它，只有有权访问未加密 HTTP 数据的人才能嗅探到它。这正是 https 应该防止的。

您只能“嗅探”数据，因为您故意使用代理服务器或类似服务器打开连接并信任他们的 TLS 无效证书。