团队和多个项目共用一个账号：按成员、项目、环境分 Key 管理
一个账号下不分成员账号，团队协作靠 API Key 来分：每个成员、项目和环境各用一把 Key，分别设额度上限、过期时间、模型限制、IP 白名单和分组；用量在操作日志和数据看板里按 Key 拆开看，可以导出给财务。账号由负责人开两步验证、看安全日志，脚本用权限受限的个人访问令牌。
一个土土金 API 账号下不分成员账号，团队协作靠 API Key（控制台里叫「令牌」）来分：一个成员、一个项目、一个环境各用一把 Key，每把 Key 单独设置额度上限、过期时间、模型限制、IP 白名单和分组。每次调用都记在 Key 的名下，用量在操作日志和数据看板里能按 Key 拆开看，导出 CSV 就能交给财务。账号本身只由负责人登录，开两步验证，定期看安全日志；需要自动查余额、查用量的脚本，用权限受限的个人访问令牌，不共享登录密码。
怎么分 Key
按「谁在用、用在哪个项目、哪个环境」拆，一把 Key 只对应一种用途：
| 维度 | 名称示例 | 建议设置 |
|---|---|---|
| 环境 | 客服机器人-生产、客服机器人-测试 | 生产 Key 设 IP 白名单；测试 Key 的额度上限设低一些 |
| 项目或产品线 | 知识库-生产、营销文案-生产 | 每个项目一个额度上限，模型限制里只放这个项目用到的模型 |
| 成员开发调试 | 张三-开发 | 额度上限小，设过期时间，项目结束就停用 |
| 外包、试点 | 外包-官网改版 | 过期时间加额度上限，到期自动失效 |
名称会出现在操作日志和导出的 CSV 里，写清项目和环境，月底拆账时一眼能看出归属。添加令牌时可以一次创建多把（最多 100 把），从第 2 把起名称自动加随机后缀，给新团队批量发 Key 很方便。
每把 Key 能管什么
在控制台「令牌」页新建或编辑 Key 时设置，保存后立即生效：
| 设置 | 作用 | 超出限制时 |
|---|---|---|
| 额度上限 | 这把 Key 累计最多能花多少钱，也可以选不限额度 | 返回 401，其他 Key 不受影响 |
| 过期时间 | 到期后这把 Key 失效；有 1 小时到 1 年的快捷选项，也可以指定日期 | 返回 401 |
| 模型限制 | 只允许调用选中的模型 | 返回 403 |
| IP 白名单 | 只接受指定 IP 或网段发来的请求，每行一个 | 返回 403 |
| 分组 | 一个分组，或按优先级的多个分组，决定线路和价格 | 分组都没有这个模型时返回 503 |
| 允许查询余额 | 在「高级」里，允许只凭这把 Key 读取账户余额，方便监控脚本 | — |
几点要注意：
- 额度上限是累计的，不会按月重置。按月控制预算时，每月初把上限改成「已用金额 + 本月预算」。
- 所有 Key 共用账户余额。余额不足时所有 Key 都会返回 403，错误码
insufficient_user_quota，见错误码与重试。 - 关键业务可以给 Key 配多个分组，主线路出问题时自动切换，做法见大模型 API 高可用。
按 Key 看用量
- 「操作日志」：每条记录有时间、模型、分组、令牌、tokens 和花费。按令牌名称筛选，打开「显示统计」，「筛选时段消耗」就是这把 Key 在所选时间内的消费合计；异步任务失败退回的钱另记为「退款」记录。
- 「数据看板」：「令牌与分组」一栏按令牌、分组和模型汇总消费，适合看各项目的占比。看板按小时汇总，仅供参考，金额以操作日志为准。
- 导出：操作日志右上角的「导出」生成 CSV，交给财务。按项目拆账、每月核对的完整步骤见成本分摊与对账。
给脚本用个人访问令牌
要让脚本定时查余额、拉用量，或者批量管理 API Key，在「账号设置」的「访问令牌」里创建个人访问令牌，不要把登录密码交给脚本：
- 只勾选脚本需要的权限，比如「查看用量日志、统计与安全日志」「查看余额与充值记录」。
- 选有效期：7 天、30 天、90 天、365 天，或者永不过期。
- 创建时要验证身份，令牌只显示这一次，马上存进密钥管理系统。
- 脚本请求控制台接口时，在请求头里带
Authorization: Bearer <令牌>。
个人访问令牌和 API Key 是两回事：API Key 用来调用模型；访问令牌用来调用控制台接口，按权限范围授权。不用的令牌及时删除。
余额提醒
在「账号设置」的「额度提醒」里打开余额不足提醒，余额从阈值以上降到阈值以下时，通过邮件或 Webhook 通知一次。Webhook 可以填签名密钥，方便你的服务校验来源。团队共用一个钱包，最好把提醒发到值班邮箱或群机器人，而不是某个人的邮箱。
保护负责人的账号
控制台能创建、查看和删除所有 Key，负责人的账号要单独保护好：
- 只让负责人登录控制台，不共享账号密码。
- 在「账号设置」的「安全」里开启两步验证：登录和敏感操作时，除了密码还要输入验证器 App 里的动态码。备用码存在安全的地方。
- 同一页的「登录会话」列出当前登录着这个账号的浏览器，发现陌生设备就注销它并修改密码。
- 「安全日志」记录登录、安全设置的变更，以及 API Key 的创建、修改、启用或停用、删除和查看完整 Key，带时间、结果、IP 和设备，定期看一眼。
人员和项目变动时
| 情况 | 怎么做 |
|---|---|
| 成员离职 | 停用他的开发 Key；他接触过的生产 Key 新建一把替换上线，再停用旧的 |
| 外包或试点结束 | Key 到期自动失效；提前结束就手动停用 |
| 项目下线 | 停用这个项目的所有 Key，月结后再决定是否删除 |
| 怀疑 Key 泄露 | 立刻停用，新建一把替换，再到操作日志核对异常调用，见 API Key 安全最佳实践 |
停用比删除好：停用的 Key 随时能重新启用；删除之后，数据看板的「令牌与分组」里只显示「已删除的令牌」和编号，按 Key 看用量就不方便了。
常见问题
能给团队成员开子账号吗？
不能。一个账号下不分成员账号，团队按 API Key 来分权限和用量：每个成员、项目、环境各用一把 Key，控制台只由负责人登录，不共享账号密码。
Key 的额度上限会按月重置吗？
不会，额度上限是累计的。想按月控制预算，每月初把这把 Key 的额度上限改成「已用金额 + 本月预算」。
各把 Key 的钱是分开的吗？
不是。所有 Key 共用账户余额，额度上限只限制单把 Key 最多能花多少。账户余额不足时，所有 Key 都会调用失败。
财务怎么拿到用量数据？
在控制台「操作日志」按时间和令牌名称筛选后导出 CSV；需要定期自动拉取的，给脚本创建只读权限的个人访问令牌。
成员离职或外包结束怎么处理？
停用他用过的 Key。如果他接触过生产环境的 Key，新建一把替换上线，再停用旧的。停用比删除好：停用的 Key 能重新启用，数据看板里也还能按原来的名字看用量。