从零搭建AI中转站企业级权限管控方案
当你架设好AI中转站后，第二件关键事就是权限管控——否则任意用户都能使用你的额度、查看他人对话记录，甚至滥用接口。
本文基于常见OneAPI或NewAPI后台，用零基础能直接跟做的步骤，讲清楚如何构建一套企业级权限管控方案：从角色创建、用户隔离到密钥审计。
一、为什么需要提前规划权限层次
很多新手以为“建好站、发个密钥就完事”。
实际的隐患包括：
- 每个用户都能调用全部模型，资源无法按团队隔离。
- 随便一个人拿到密钥就能调用你的付费API，成本失控。
- 无法区分内部员工和外部试用用户的配额。
一套靠谱的AI中转站企业级权限管控方案至少应做到：角色分级、用户分组、密钥绑定角色与组、可审计调用。
二、动手配置前的准备工作
- 确认你使用的后端面板（如OneAPI、NewAPI、LobeChat自带后台），以下以OneAPI v0.6+为例。
- 准备好管理员账号：默认admin/admin123（登录后立刻改密码）。
- 确认数据库驱动正常（默认SQLite，生产建议MySQL）。
如果你的面板没有内置权限模块，可借助Nginx反向代理层实现URI访问限制，但本文只讲面板内方案。
三、一步步搭建权限隔离体系
- 创建角色和用户组
- 登录后台 -> 用户管理 -> 角色管理。
- 创建角色：
internal（内部）、external（外部试用）。 - 分别设置最大调用次数、可用模型列表（如internal可用GPT-4+Claude，external仅限GPT-3.5）。
- 添加用户绑定角色
- 用户管理 -> 添加用户。
- 填写邮箱/用户名，选择所属角色（internal/external）。
- 设置用户到期时间或无限期。
- 每个用户会生成独立API Key。
- 分配密钥权限
- 在密钥管理页，可以为每个Key单独绑定角色或用户组（部分面板支持）。
- 更细粒度：在模型权限标签下，限制某个Key允许调用的模型。
- 开启调用日志审计
- 系统设置 -> 日志记录 -> 开启全部请求日志。
- 建议设置日志保留30天，避免磁盘爆满。
四、最容易被忽略的权限管控坑
- 角色编辑后未保存：每次修改角色权限点右下角“保存”，再刷新缓存才生效。
- 密钥泄漏需手动禁用：在密钥列表中找到对应Key，点击“禁用”或删除，不会自动失效。
- 用户组与角色冲突：如果既给用户分配角色，又给密钥分配角色，某些面板以密钥绑定为准，测试时务必验证。
五、确认你的管控方案生效
- 使用内部用户Key调用仅限GPT-4的模型：应能正常返回。
- 使用外部用户Key尝试调用GPT-4：应返回403或“模型不可用”。
- 检查后台日志：每条请求都记录调用者用户名、Key、模型、耗时。
- 超出配额时用外部Key连续调用：应返回429限流错误。
六、高频问题解答
Q：免费开源面板没有角色功能怎么办？
A：可以升级到企业版（如OneAPI商业版），或通过前端Nginx加lua脚本限制Key与IP绑定。
Q：如何让不同用户使用不同的模型组？
A：在OneAPI后台“模型分组”中创建分组，然后在角色编辑中只勾选对应分组。
Q：不想让用户看到管理员信息？
A：关闭后台的用户列表展示（后台设置->用户展示权限），建议只让管理员登录后台。
如果你正打算部署或优化自己的AI中转站，建议先按本文步骤完成企业级权限管控方案，再开放给用户；
遇到异常时优先回看上面“避坑”部分。
后续可配合Nginx访问限制做二次加固。
