跳轉到主要內容
一個被入侵的代理不會自行停止。一個誘使它陷入重試 迴圈的提示注入，或一張藏在 CI 日誌裡的外洩金鑰，會持續 呼叫模型，直到某個東西喊停。在 OrcaRouter 上，那個「某個東西」 就是金鑰本身上的兩個欄位：一個花費上限與一個到期。在金鑰 編輯器中設定它們一次，閘道就會在每個請求上強制執行兩者—— 無需修改代理程式碼、無需重新部署。 本頁是那兩個限制的聚焦參考。要了解完整的金鑰 欄位清單，參見權杖物件；要了解它們周圍的 身份模型，參見 範圍限定金鑰總覽。

​
1. API 金鑰花費限制：credit_limit_usd

credit_limit_usd 是一把金鑰的終生花費上限，以 純美元表示。你在金鑰編輯器中輸入一個美元數字；OrcaRouter 把它轉換成金鑰的起始配額，並對照它計量每一次呼叫。

有界

credit_limit_usd: 25 鑄造一把帶有 $25 花費的金鑰。每次呼叫 扣除其成本；一旦剩餘餘額觸及零，金鑰就停止 授權，且每個進一步的請求都被拒絕。

無限制

credit_limit_usd: 0 是無上限的哨兵值——金鑰汲取 你的工作區餘額，沒有每把金鑰各自的上限。很方便，但若它 外洩，會是最糟的波及範圍。
0 不意味著「零美元」——它意味著無限制。一把你 打算鎖定到極小預算的金鑰，必須帶有一個正數。要 表達「這把金鑰不可花費任何金額」，請停用或刪除它，而非把 上限設為 0。

​
2. 上限如何被計量：remain_quota 與 used_quota

你輸入的美元上限是面向人類的表層。在它底下， 閘道在金鑰上追蹤兩個運行中的計數器：
欄位含義
remain_quota金鑰停止授權之前剩餘的花費。
used_quota金鑰在其生命週期內至今已消耗的花費。
設定一個正的 credit_limit_usd 會從那個美元數字播種 remain_quota；每一次計費的呼叫會把成本從 remain_quota 移入 used_quota。一把帶有無限制上限的金鑰改為攜帶 unlimited_quota， 且餘額檢查會被完全跳過。
當一個防護欄或防火牆封鎖在模型執行之前觸發時，它 不對上限耗費任何成本——一個輸入階段的 guardrail_blocked 與一個 inbound firewall_blocked 都發生在計量之前，所以 remain_quota 毫髮無傷。 一個輸出階段的防護欄封鎖會退款該請求。參見 防護欄與防火牆。

​
3. 自動到期：expired_time

expired_time 是一個絕對的截止點——一個 Unix epoch 時間戳記（秒）， 在其之後金鑰停止授權，無論還剩多少預算。
  • 一個未來時間戳記會在那個瞬間使金鑰到期。閘道 在每個請求上把它對照當前時間比對，並在它過去之後拒絕 該呼叫。
  • -1 是永不到期的哨兵值。
這兩個限制是獨立的，且兩者都必須通過。一把還有預算 但 expired_time 已過的金鑰是死的；一把在其有效期窗內但 remain_quota 為零的金鑰是死的。哪個邊界先觸發就由哪個勝出。 編輯器會拒絕一個設在過去的到期，所以你無法意外鑄造一把 生來就到期的金鑰。
關於每次 CI 執行或每個短暫代理所鑄造的短命金鑰，參見 到期金鑰。

​
4. 一把具體的有上限、會到期的金鑰

一個用一個便宜模型對帳發票、為期兩週試行、且 絕不應在一晚花費超過區區幾美元的夜間工作， 幾乎不需要任何自主。在主控台金鑰編輯器中設定它的金鑰 （/console/token——Developer+）：
1

設定花費上限

credit_limit_usd: 40——這次試行的整個預算。一個失控的重試 迴圈耗盡的是金鑰，而非你的工作區餘額。
2

設定到期

expired_time：試行窗口結束的 Unix 時間戳記。 金鑰自動到期，且在試行出貨後無法被重用。
3

與其他範圍配對

新增 model_limits 使它無法升級到前沿模型，以及 allow_ips 使一把外洩金鑰在排程器主機之外毫無用處。
如果這個代理在第三天被劫持，損害被界定到其 $40 還剩下的那部分，而整把金鑰無論如何都會在十一天內消失。 工作區的其餘部分毫髮無傷。
這兩個欄位都是金鑰上的美元與時間，而非工作區層級的政策。要為 單一代理執行（而非一把金鑰的生命週期）的花費設上限， 防火牆的 cap_cost 裁決是每執行的斷路器——參見 防火牆規則。兩者組合：金鑰上限 界定生命週期，cap_cost 界定單一執行。

​
5. 誰能設定這些

設定 credit_limit_usd 與 expired_time 是建立或 編輯一把金鑰的一部分，這需要 Developer 角色或以上。任何 工作區成員都可以讀取一把金鑰被遮罩的紀錄；只有 Developer+ 能 變更它的限制。金鑰在顯示時會被遮罩——明文只在 建立時顯示一次（參見金鑰遮罩）。

​
6. 預設為有界

一把帶有 credit_limit_usd: 0 且 expired_time: -1 的金鑰沒有 花費上限且永不到期——最大自主、最糟波及範圍。把那當作 一個刻意的例外，而非預設值。

無限制 vs 有界

一把無上限、不到期的金鑰實際上才是正確選擇的時機——以及 它不是的時機。

最小自主檢查清單

在每把生產金鑰出貨之前，讓它走過同一道硬化 流程。

​
7. 相關

權杖物件

一把金鑰上的每個欄位，包括配額計數器。

綁定政策

把一份防護欄與一份防火牆政策附掛到同一把金鑰。

過度自主

花費上限與到期所要收束的威脅。
一個花費上限與一個到期是一把金鑰上最便宜的保險：兩個 數字，把一張開放式的憑證變成一張會安全失效——耗盡或 到期——而非一路執行到你的帳單注意到為止的憑證。