在使用 Claude Code 进行本地开发时，将 API 密钥等敏感信息硬编码在代码中是极其危险的行为。一旦代码被提交至 Git 仓库或泄露给第三方，攻击者即可利用这些凭证访问您的 Anthropic 账户，产生高额费用甚至窃取数据。因此，构建一套严密的敏感信息保护机制，不仅是最佳实践，更是保障账户安全的底线。本文将结合实战操作，详细讲解如何在 Claude Code 环境中安全地管理 API 密钥。
使用环境变量隔离密钥
最基础且有效的保护方式是将 API 密钥存储在操作系统的环境变量中，而非直接写在配置文件里。Claude Code 默认会读取名为 ANTHROPIC_API_KEY 的环境变量。在 Linux 或 macOS 系统中，您可以编辑 ~/.bashrc 或 ~/.zshrc 文件，添加如下行：export ANTHROPIC_API_KEY="your_api_key_here"。对于 Windows 用户，则需在系统环境变量设置中添加该变量。这样做的核心优势在于，当您在终端启动 Claude Code 时，它会自动从环境中获取密钥，而无需在每次命令中输入，同时也避免了密钥出现在 shell 历史记录中。此外，确保您的终端不会打印出完整的环境变量内容，以防旁观者窃视。
配置 .env 文件与版本控制
对于需要跨项目复用或更灵活管理的场景，推荐使用 .env 文件。您可以在项目根目录创建 .env 文件，写入 ANTHROPIC_API_KEY=sk-ant-...。关键在于，必须将此文件添加到 .gitignore 列表中，以防止其被意外提交到版本控制系统。Claude Code 支持自动加载同目录下的 .env 文件，这意味着您无需手动导出变量，工具即可识别。建议同时创建一个 .env.example 模板文件，其中包含变量名但值为占位符（如 ANTHROPIC_API_KEY=your_key_here），供团队成员参考，既保证了协作便利性，又确保了实际密钥的安全隔离。
定期轮换与权限最小化
除了技术层面的存储隔离，定期的密钥轮换也是保护策略的重要一环。建议在 Anthropic 控制台定期生成新的 API 密钥，并禁用不再使用的旧密钥。这不仅降低了长期泄露的风险，也符合零信任安全原则。此外，如果可能，应限制 API 密钥的使用范围，例如通过 Anthropic 提供的预算警报功能，监控每月的消费情况。一旦发现异常调用量，立即停用密钥并排查日志。在实际操作中，切勿在公共论坛、代码分享平台或聊天记录中粘贴完整的 API 密钥字符串。即使是部分暴露，也可能成为攻击者的线索。通过上述环境隔离、版本控制忽略以及定期轮换的组合拳，您可以最大限度地降低 Claude Code 使用过程中的安全风险，专注于代码开发本身。
本文链接：https://bf-jianli.com.cn/doubao/claude-code-apimgxxbh-apimygl/
