完整 Secret 只显示一次
数据库只保存 keyed hash、公开前缀、末四位与 hash 版本。
创建时sk-mf-••••
持久化HASH + PREFIX + LAST4
凭证生命周期
上游 Secret 信封加密
只有 Gateway 与必要 Worker 身份拥有最小化解密权限。
轮换不恢复旧值
Web 与 Admin 只能替换 Secret，不能读取历史明文。
统一脱敏
Authorization、cookie、Key、支付签名与 Channel Secret 不进入日志。
Prompt 与 Response 默认不保存
普通 Usage 只记录请求标识、模型、Token、销售费用、延迟、状态与错误类型等元数据。
REQUEST CONTENT LOGGINGOFF
如用户主动开启，内容使用独立加密、单独授权和更短保留期。
权限边界各自独立
用户与 Organization
个人与企业资源明确归属，成员移除后立即失效。
平台 Admin
Admin RBAC 与用户角色完全分离，并做到 action 级。
敏感操作
记录 actor、IP、user agent、request ID 与前后值。
公开说明的边界
本页描述产品基线和工程控制，不替代正式安全审计、渗透测试报告或生产合同。相关证据在 M10 收费上线前完成。