生成密码学随机的 API 密钥与令牌,前缀、长度、字符集都可自定义,实时显示熵值,全部在浏览器本地完成。
- 本地处理
- 分类 开发运维
- 适合 格式化、校验、压缩或检查和代码相关的文本。
字母表大小: 62 个
配置写入 URL，生成的密钥本身留在本地，绝不进入链接。
这个工具能做什么
一个浏览器端的 API 密钥生成器,为需要签发密钥、bearer token 和访问 凭证的开发者打造,免去把敏感值粘进某个陌生网站的风险。每把密钥都用 crypto.getRandomValues 生成,这正是 Web Crypto API 暴露的密码学安全 随机源,随机段真正不可预测,绝不退回到不安全的 Math.random()。你可以 加一个路由前缀,比如 sk_live_、pk_test_,或你自己的自定义串,再选字符 集:base62 给清爽的字母数字密钥,十六进制给小写 0-9 a-f,base64url 给 能直接塞进 URL 的 token,base62 加一组安全符号则让每个字符的熵更高。 随机段长度可在 8 到 128 之间调,一次最多批量生成 100 把。强度面板显示 熵(以位计),只统计随机段,因为前缀本身不含秘密,同时给出完整密钥 长度和一个打码示例。复制单把、复制全部,或把整批下载成 .txt 用来灌 密钥库。你的配置会写进可分享的 URL,而生成的密钥严格留在本地、每次 点击重新随机。零依赖、零服务器往返、100% 浏览器本地。
工具细节
- 输入
- 文本 + 数值
- 页面会根据工具类型展示文本框、数值控件、文件选择或结构化输入。
- 输出
- 即时结果 + 复制 + 下载
- 结果区优先给出可操作结果，支持项会显示复制、下载或可视化预览。
- 隐私
- 浏览器本地处理
- 主工具逻辑未发现外部 API 调用，输入通常留在当前标签页内处理。
- 保存 / 分享
- 可分享链接状态
- 关键设置会进入 URL，复制链接后别人能复现同一组参数。
- 性能预算
- 首屏 JS ≤ 9 KB
- 没有声明 WASM 依赖，适合快速打开和移动端使用。
- 适用场景
- 开发运维 · 程序员
- 分类和职业标签用于推荐相关工具、组织内链，并帮助用户快速判断是否适合当前任务。
怎么用
-
1. 输入
把内容粘贴或拖入工具面板。
-
2. 处理
点击按钮,在浏览器内本地处理,文件不上传。
-
3. 复制 / 下载
一键复制结果或下载到本地。
API 密钥生成器 适合怎么用
适合穿插在写代码、查问题、做 Review、上线前的小任务里。
适合开发场景
- 格式化、校验、压缩或检查和代码相关的文本。
- 把片段整理好再放进文档、工单、提交或交接材料。
- 不切换工具,快速检查一个小 payload。
开发检查项
- 压缩、混淆这类不可逆处理,先对副本操作。
- 除非确认工具本地处理,不要粘贴密钥和敏感片段。
- 转换后的代码上线前,仍要跑自己的测试或 lint。
下一步可以接着做
这些入口会把当前任务接到更完整的工具链里。
真实使用场景
为新服务或集成签发一把 live 密钥
你在接一个 webhook 接收端,需要一个 bearer token 让调用方放进 Authorization 头。选 sk_live_ 前缀、base62 字符集、长度 32(约 190 位),生成一个,强度面板会确认它远超任何暴力破解的威胁。 复制一次,把哈希存在你这边,把明文只交给客户端一次。因为生成在 本地完成,离开你机器的唯一副本就是你主动发出去的那一份。
为 live 和 test 环境分别签发密钥
Stripe 风格的前缀就是为了让一把泄露的密钥一眼看出属于哪个环境。 生产用 sk_live_ 生成一批,预发用 sk_test_ 再生成一批,分别灌进 各环境的密钥库。当某把密钥出现在日志或 GitHub 推送里,前缀会 告诉你的扫描器:该轮换的是真实资金路径,还是只是个沙箱 token。 数量设成你正在开通的租户数,把整批下载成 .txt。
无停机轮换被泄露的密钥
一把密钥泄进了公开仓库。用相同前缀和长度生成一把替换,让它能套进 你现有的校验正则,先和旧密钥并存、部署上线,等流量切过去后再吊销 旧的。随机段长度保持一致,意味着你的列宽、限流键、日志脱敏规则 全都照常工作,不用改 schema。
生成能直接放进 URL 的 base64url token
有些流程把 token 放进 query string 或路径段,标准 base64 里的 加号和斜杠就得做百分号转义。把字符集切到 base64url,它用 - 和 _ 代替,密钥就能原封不动塞进魔法链接或密码重置 URL。长度 43 给你 256 位,相当于一把 SHA-256 的熵,而且是一串可安全复制粘贴的串。
为文档、演示和测试造一批像真的假密钥
你的 API 文档需要看起来真、其实是假的示例密钥。用你真实的前缀 生成几把,粘进文档和快照测试夹具,它们读起来很像真的,却对你的 鉴权服务器永远无效。用一批固定值,让文档和测试引用同一组一次性 字符串,而不是每次重新构建都跟着变。
常见踩坑
在小脚本里用 Math.random() 生成密钥。Math.random() 是非密码学伪随机数:它的内部状态能从几个输出里还原出来,看到一把密钥的攻击者就能预测下一把。本工具只用 crypto.getRandomValues。要自己写生成器,字节来源必须是 Web Crypto API 或服务端的 CSPRNG,绝不能是普通的 Math.random()。
以为前缀能加安全。sk_live_ 这类前缀是路由和扫描用的元数据,不是秘密:它可预测,贡献的熵为零。本工具的强度面板只统计随机段,正是出于这个原因。一个长前缀后面只跟 4 个随机字符,照样能被轻松暴力破解,所以要算的是随机段长度,不是那个标签。
把原始密钥存进数据库。把 API 密钥当密码看待:只存加盐哈希(或 HMAC),每次请求比对哈希。如果数据库泄露而你存的是明文密钥,每一把都能立刻被人拿去用。创建时把完整密钥给用户看一次,之后只留哈希和一段前缀用于展示。
隐私说明
每把密钥都用浏览器的 crypto.getRandomValues 在本地生成。密钥、前缀、 数量都不会发到服务器,不记录,不分析。分享时要知道一点:你的配置 (前缀、长度、字符集、数量)会写进 URL 查询字符串,这样分享链接能 还原配置,但生成的密钥本身被刻意排除在 URL 之外,每次点「生成」都 重新随机。所以分享链接只暴露你生成的是哪一类密钥,绝不暴露真实秘密。 只要把这里生成的东西放进生产环境,它就是一把真凭证,请照此对待。
常见问题
类似工具组合
做你这行的人, 还会一起用这些。