一、每用户额度上限。没有这个，一个脚本能把你跑破产。
二、请求日志保留天数。至少 7 天，出问题要能查。
三、模型白名单。默认允许所有模型，等于把最贵的也开放了。
四、并发限制。单用户并发 5，防一个用户占满。
五、失败告警。渠道连续失败要通知，别等用户投诉。

这五条是我见过的事故里出现频率最高的缺失项。

补充：日志里别记完整的请求体。用户可能传敏感信息，日志泄露比数据泄露更容易发生。记 token 数和模型名就够排查了。

主楼