额度、限流与安全

免费 API 最容易踩坑的地方不是“找不到 Key”，而是把限额、试用资格和安全边界想得过于简单。把下面的检查做完，再把服务用于长会话或自动化任务。

你需要区分的五种限制

名称	它限制什么	典型表现
RPM	每分钟请求数	短时间连续发请求后出现 `429`
TPM	每分钟输入 / 输出 Token 数	长上下文比短提示更快触顶
RPD / 每日次数	一天内的请求总数	第二天或额度刷新前无法继续
余额 / 赠送额度	可计费金额或试用余额	返回余额不足、Billing 或 `402`
并发 / 队列	同时处理的任务数	排队、超时或服务繁忙

图像、视频、语音和长上下文模型通常有自己的计量方式。不要用文本模型的免费规则推断其他模型也免费。

注册前检查清单

当前所在地区是否在服务商的可用地区内？
是否要求手机号、实名认证、组织邮箱或付款方式？
免费资格是长期免费层、一次性试用，还是活动赠送？
免费额度何时刷新或过期？是否只能用于指定模型？
超出免费额度后会拒绝请求，还是自动按量计费？
是否可以设置预算上限、用量提醒或单 Key 上限？
提示词、上传文件和输出是否会被保存或用于改进服务？

这些答案可能随地区、账号等级和平台公告变化，保存页面截图时也要记录日期。

常见错误码怎么处理

状态	含义	安全的处理方式
`400`	参数、请求格式或模型名错误	对照官方请求示例，检查 API 类型和模型 ID
`401`	Key 缺失、错误或已撤销	在官方控制台创建新 Key，不要索要共享 Key
`403`	权限、地区、组织或内容策略不满足	查看账户资格和模型权限，不要绕过地区验证
`404`	地址、路径、模型或部署名错误	只复制官方 Base URL，避免重复拼接路径
`408` / 超时	网络或服务响应慢	减少请求内容，检查网络，稍后重试一次
`429`	速率、并发、每日限额或上游拥塞	退避重试、降低并发、换可用模型或等待刷新
`500` / `502` / `503`	服务端或上游暂时异常	查看状态页，不要无限重试或反复创建 Key
`402` / Billing	余额不足或该模型不属于免费层	查看余额与计费设置，确认是否会自动扣款

让免费额度用得更久

先用轻量模型完成格式和流程验证，再切换复杂模型。
缩短不必要的上下文，移除重复说明和大段日志。
给自动化任务设置最大轮数、超时和重试次数。
使用指数退避，不要在 429 后立即并发重试。
把“检测连接”和“实际长任务”分开，避免调试消耗整日额度。
在 EasyAI 中为不同用途保存不同配置，随时停用接近上限的服务。

API Key 安全

每个服务商使用自己的 Key，不要在群聊、截图、日志或 Git 仓库分享；
优先使用最小权限、可设置额度上限、可随时撤销的 Key；
不要把 Key 写入前端网页、移动端安装包或公开的 .env.example；
定期检查最近调用、余额、来源 IP 和异常模型；
怀疑泄露时立即撤销、重建并检查是否产生了异常消费；
不要把 EasyAI 的配置目录同步到不受信任的云盘。

数据隐私和公共接口

服务商、聚合平台、公开免 Key 接口和本地模型的数据边界不同。发送前先做脱敏：删除姓名、手机号、邮箱、订单号、访问令牌、客户代码和内部 URL。公共接口尤其不适合处理个人信息、商业机密和生产凭据。

本地 API 也不是自动安全：开启局域网访问、隧道、插件、Skill 或 MCP 后，数据可能离开本机。只使用可信来源，限制端口和权限，不要直接把 localhost 服务暴露到公网。

什么时候不该继续用“免费”

如果任务需要稳定 SLA、持续自动化、敏感数据处理、团队审计、固定模型版本或大量并发，应评估正式付费 API、企业合同或受控的本地部署。免费层适合学习和验证，不应成为没有监控和预算保护的生产依赖。

相关页面：注册与配置教程、公开 / 免 Key 接口、模型 API。