# 数据安全与合规

来源: https://docs.aicentos.com/enterprise/security-compliance

Language: zh-CN

> 传输加密、部署形态与数据边界、日志记录范围、密钥治理与责任边界

数据安全是这个产品的第一要求。本页说明数据如何流动、平台记录什么、双方的合规边界在哪——按可核查的事实写，不做无法验证的承诺。

## 数据流向

请求只经过两个环节：

```
你的程序  →  aicentos 网关  →  上游模型厂商
```

* **aicentos 网关**：负责鉴权、路由、计费与故障切换，是数据经过的唯一中间环节
* **上游模型厂商**：推理最终由上游完成，其数据留存政策按其官方条款执行，这部分不由我们控制

平台上没有第三方数据接收方，我们不将调用数据用于转售或二次分发。

## 部署形态与数据边界

提供两种部署形态，数据边界不同，按你的合规要求选择：

|           | 公有云（aicentos.com） | [私有化部署](https://docs.aicentos.com/enterprise/deployment) |
| --------- | ----------------- | -------------------------------------------------------- |
| 网关位置      | 平台侧               | 你的内网或私有云                                                 |
| 调用明细与审计记录 | 平台侧数据库，留存可合同约定    | 你的数据库，我们不接收、不存储                                          |
| 留存策略      | 平台策略              | 由你自行设定                                                   |
| 身份认证      | 平台账号体系            | 可对接你自有的身份提供方（OIDC 单点登录）                                  |

无论哪种形态，请求内容都会在转发到上游时还原为原文，详见下文传输加密。私有化部署把**平台侧的留存降到零**，适合要求数据不离开自有边界的场景。

## 传输加密

* **全站 HTTPS（TLS）加密传输**：控制台、文档站、状态站均强制 HTTPS，HTTP 请求自动跳转，不提供明文入口
* API 调用同样只经 HTTPS 传输，不提供明文端口

把措辞说准确：aicentos 是**转发型网关**，请求需要在上游还原为原文才能完成调用，因此这里不是“端到端加密”——那是点对点直连才成立的模型。我们在**传输链路上加密**，并把**存储侧的数据范围压到最小**，这是这种架构下真实能做到的上限。把做不到的说成做得到，对你没有价值。

## 平台记录什么

用量日志只保存**元数据**，用于计费、路由归因与故障排查：

| 记录项                                 | 用途          |
| ----------------------------------- | ----------- |
| 模型、分组、渠道                            | 计费与路由归因     |
| prompt / completion token 数、耗时、是否流式 | 计费与性能分析     |
| API 密钥标识、调用方 IP                     | 权限追溯与风控     |
| 请求 ID、上游请求 ID                       | 故障定位与对账     |
| 错误信息                                | 故障排查与上游质量评估 |

**请求与响应的正文内容不写入日志**，控制台也不提供按对话内容检索的能力。

除用量日志外，系统还独立记录**操作与访问审计**（登录、安全、操作、令牌四类事件），用于回答“谁在何时用哪个密钥做了什么”；审计同样不包含调用内容，且**独立于用量日志的清理策略保留**。密钥以指纹形式记录，不保存明文。详见[明细查询与审计](https://docs.aicentos.com/enterprise/usage-audit)。

需要约定特定的日志保留周期或删除策略，可在合同中单独写明。

## 身份与访问控制

除密钥管控外，账号侧的访问控制包括：

* **登录方式**：密码登录；私有化部署可对接你自有的身份提供方（OIDC 标准）实现单点登录
* **Passkey**：基于 WebAuthn 的通行密钥登录，不依赖密码；公有云暂未开放，私有化部署可启用
* **二次验证**：支持动态口令与一次性备份码，可按你的安全要求设为强制
* **会话吊销**：密码或权限发生变更后，该账号的所有已登录会话立即失效，需重新登录
* **权限最小化**：管理权限可细分到具体功能项，审计查询权限可单独授予——给财务或合规岗开只读视图，不涉及其他管理功能

单点登录的准入条件可按身份提供方返回的组织、角色等属性设定，人员的进入与退出由你的账号体系驱动，见[团队协作与权限](https://docs.aicentos.com/enterprise/organization)。

## 密钥治理

每个 API 密钥可独立配置、随时吊销：

* **额度上限**：控制成本，也限定意外泄露后的损失上限
* **模型白名单**：只放开该业务确实需要的模型
* **IP 白名单**：限定调用来源
* **有效期**：临时授权到期自动失效

密钥可随时吊销并重新签发，单个密钥泄露不影响其他密钥。

## 责任边界

* 请求内容与生成内容的合规性由调用方负责；我们按上游厂商与当地法规要求配合处理
* 如需 NDA 或更详细的安全口径，可通过[服务与支持](https://docs.aicentos.com/enterprise/support)沟通

## 接入侧建议

* 不要把 API 密钥写进前端代码或公开仓库
* 为密钥设置有效期与 IP 白名单，缩小意外泄露的影响面
* 测试与生产环境使用不同密钥，分别设置额度