中转站安全性不能只看 HTTPS

背景：API key 是开发者资产。

检查项：请求日志是否脱敏、后台能否明文查看 key、是否支持 key 轮换、是否有异常调用提醒。

结论：安全说明应该进入中转站基础资料。

不确定性：这些是冷启动观察框架，具体中转站还需要持续探测数据验证。