作者发布免费工具CheckFakeAPI（checkfakeapi.net），帮助用户检测AI中转站的真实性与安全性。文章首先通过案例说明不良中转站的风险：隐私泄露、API Key被盗、模型偷换、虚假额度、平台跑路等九大隐患。随后介绍该工具的核心功能：基于协议字段、流式响应、工具调用、Token统计等多维度检测模型真伪；提供红黑榜公开排名中转站表现；每日GPT智商指数追踪模型状态变化；以及浏览器优先、Key不落本站的API余额查询。使用流程简单，检测后自动生成报告并进入榜单。
本文详细记录了作者在广州某高校图书馆 AI 工作坊上，带领学员使用腾讯 WorkBuddy 将手头资料（如数据表、规章文件）制作为交互式智能问答网站的完整过程。文章涵盖：让 WorkBuddy 生成可视化网站、接入 DeepSeek API 实现自由问答、通过中转函数保护 API key 安全、用 Codex 操控 Chrome 自动完成腾讯云部署等环节。作者还分享了 API key 三道安全防线、部署踩坑经验（教程过时、云函数超时、日期偏差排查）以及成本控制（全班提问仅花两毛二），并强调数据授权与隐私边界的重要性。
文章深入探讨了 Claude Code 工具在处理 .env 文件时可能引发的安全隐患。作者指出，仅依赖 CLAUDE.md 中的指令无法有效防止 API 密钥和密码被上传至服务器。文章提供了基于 settings.json 的系统级拒绝规则、Pre-commit hook 脚本以及容器隔离方案，构建了从文件读取、运行时输出到命令执行的全方位安全防护体系，确保开发环境中的敏感信息不被泄露。
