跳转到主要内容
一个被攻陷的智能体不会自行停止。一个诱使它进入重试循环的提示 注入，或一份在 CI 日志中的泄露密钥，会持续调用模型直到某个东西 说停。在 OrcaRouter 上，那个”东西”就是密钥本身上的两个字段： 一个花费上限和一个到期。在密钥编辑器中设置一次，网关 就会在每个请求上执行两者——无需修改智能体代码、无需重新部署。 本页是这两个限制的专题参考。完整的密钥字段列表参见 令牌对象；它们背后的身份模型参见 限定范围密钥总览。

​
1. api 密钥花费限制：credit_limit_usd

credit_limit_usd 是一个密钥的终身花费天花板，以普通 USD 表示。 你在密钥编辑器中输入一个美元数字；OrcaRouter 把它转换成该密钥的 起始配额，并对照它计量每一次调用。

有界

credit_limit_usd: 25 铸造一个带有 $25 花费的密钥。每次 调用扣除其成本；一旦剩余余额触及零，该密钥就停止授权， 且每个后续请求都被拒绝。

无限

credit_limit_usd: 0 是无上限的哨兵值——该密钥从你的工作区 余额中支取，没有按密钥的天花板。很方便，但一旦泄露便是最坏的 影响半径。
0 并不意味着 “零美元”——它意味着无限。一个你打算锁定到 极小预算的密钥必须携带一个正数。要表达 “这个密钥什么都不能 花”，请禁用或删除它，不要把上限设为 0。

​
2. 上限如何被计量：remain_quota 与 used_quota

你输入的美元上限是面向人类的表层。在它之下，网关在密钥上 跟踪两个运行中的计数器：
字段含义
remain_quota在密钥停止授权之前剩余的花费。
used_quota在密钥的生命周期内迄今消耗的花费。
设置一个正的 credit_limit_usd 会从那个美元数字播种 remain_quota；每次计费调用都把成本从 remain_quota 移入 used_quota。一个带无限上限的密钥改为携带 unlimited_quota， 而余额检查被完全跳过。
当一个防护栏或防火墙拦截在模型运行之前触发时，它对上限 不计任何成本——一个输入阶段的 guardrail_blocked 和一个 inbound firewall_blocked 都发生在计量之前，因此 remain_quota 不受影响。一个输出阶段的防护栏拦截会退款该请求。参见 防护栏 和 防火墙。

​
3. 自动到期：expired_time

expired_time 是一个绝对截止——一个 Unix 纪元时间戳（秒）， 此后无论还剩多少预算，该密钥都停止授权。
  • 一个未来时间戳在那一刻使密钥到期。网关在每个请求上把它 与当前时间比对，并在它过去之后拒绝该调用。
  • -1 是永不到期的哨兵值。
这两个限制是独立的，且都必须通过。一个还有预算但 expired_time 已过的密钥是死的；一个在其有效窗口内但 remain_quota 为零的密钥 是死的。哪个边界先触发哪个就生效。编辑器会拒绝一个设在过去的 到期，因此你不会意外铸造一个生来即过期的密钥。
对于按 CI 运行或按短暂智能体铸造的短寿命密钥，参见 到期密钥。

​
4. 一个具体的有上限、会到期的密钥

一个用一个廉价模型对账发票、运行一个两周试点、且每晚花费永远 不应超过几美元的夜间作业，几乎不需要任何权限。在控制台密钥 编辑器（/console/token —— Developer+）中配置它的密钥：
1

设置花费上限

credit_limit_usd: 40 —— 试点的全部预算。一个失控的重试循环 耗尽的是密钥，而非你的工作区余额。
2

设置到期

expired_time：试点窗口结束的 Unix 时间戳。密钥自动到期， 在试点交付后无法被重用。
3

与其他范围配对

添加 model_limits 使它无法升级到前沿模型，并添加 allow_ips 使一个泄露密钥在调度器主机之外无用。
如果这个智能体在第三天被劫持，损害被限定在它 $40 余下的部分， 而且无论如何整个密钥在十一天内都会消失。工作区的其余部分 毫发无损。
这两个字段都是密钥上的 USD 与时间，而非工作区级别的策略。要 限定单个智能体运行的花费（而非一个密钥的生命周期），防火墙的 cap_cost 判定是按运行的断路器——参见 防火墙规则。两者组合：密钥上限限定 生命周期，cap_cost 限定单次运行。

​
5. 谁能设置这些

设置 credit_limit_usd 和 expired_time 是创建或编辑一个密钥的 一部分，这需要 Developer 角色或以上。任何工作区成员都可以 读取一个密钥的掩码记录；只有 Developer+ 能更改它的限制。密钥在 展示时被掩码——明文在创建时显示一次（参见 密钥掩码）。

​
6. 默认有界

一个 credit_limit_usd: 0 且 expired_time: -1 的密钥既无 花费上限也永不到期——最大权限、最坏影响半径。让那成为一个 刻意的例外，而非默认。

无限 vs 有界

什么时候一个无上限、不到期的密钥实际上是正确的选择——以及 什么时候不是。

最小权限检查清单

让每个生产密钥在上线之前都经过同样的加固流程。

​
7. 相关

令牌对象

密钥上的每个字段，包括配额计数器。

绑定策略

把一个防护栏和一个防火墙策略附加到同一个密钥上。

过度代理

花费上限和到期旨在遏制的那种威胁。
一个花费上限和一个到期是密钥上最廉价的保险：两个数字，把一份 开放式的凭据变成一份安全失败的——空了或过期了——而不是一直 运行到你的账单注意到为止。