省一步后端，账单可能替你买单！前端直接调大模型？2 分钟自查你的 API Key 是不是裸奔在浏览器里

大白话很多用 AI 快速搭出来的网页应用，图省事直接在 React 组件里发请求，把密钥塞进 VITE_ 或 NEXT_PUBLIC_ 开头的环境变量。问题是这类变量会被打包进前端代码，浏览器能读到，访客也能读到。作者给了三步自查：打开 F12 的 Network 面板发一次 AI 请求，看有没有 Authorization、x-api-key 或 x-goog-api-key 头；在全部脚本里搜 sk-、sk-ant-、AIza；再查环境变量前缀。中招就当天换密钥，把请求挪到自己的后端转发。

对你意味着如果你用 Cursor、v0 这类工具快速做过带 AI 功能的网页，很可能已经踩坑。密钥被偷用，账单是记在你头上的。