账号和 API Key
认证方式和 Key 边界
用户 API Key 是用户到顶级AI的统一入口凭据，不是上游 provider Key。
用户 Key 边界
用户 API Key 是用户到顶级AI的统一入口凭据，不是上游 provider Key；上游账号、上游 Key 和出站认证只在后台供给侧配置。
先看结论
只要是用户侧工具或代码访问顶级AI，都应该带顶级AI用户 API Key。后台上游 Key 只给管理员配置供应商使用，普通用户不会看到，也不需要填写。
支持的入站位置
推荐认证方式是 Authorization: Bearer YOUR_USER_API_KEY；公开 gateway 路径必须带顶级AI用户 API Key。
优先使用 Authorization header
推荐使用 Authorization: Bearer YOUR_USER_API_KEY；公开 gateway 路径必须带用户 API Key。
兼容其他入站位置
x-api-key 和 x-goog-api-key 作为兼容入口；完整冲突处理和 Gemini native query key 边界以当前 API 契约为准。
不要使用上游 Key
上游 provider Key 只属于后台供给侧配置，不能作为用户到顶级AI的入口凭据。
Gemini 的特殊提醒
Gemini 原生入口默认不接受 URL 里的 ?key=。请使用 x-goog-api-key header，避免 Key 出现在浏览器地址栏、代理日志或分享链接里。
常见失败
- 缺失、禁用、撤销或无效的用户 API Key 都不会进入正常 gateway 调用。
- 把上游 provider Key 当作顶级AI 用户 Key 使用不会通过顶级AI 鉴权。
- 认证失败的具体错误码和响应外壳请以当前 API 契约为准。