At debug log level API requests to OpenAI get logged with all headers, including an API key, in plaintext

问题场景

应用在 DEBUG 日志级别下使用 OpenAI Python SDK 并通过 API key 发起请求时，SDK 会打印请求相关信息，其中包含全部请求头，API key 因此以明文形式出现在日志中。有用户反馈该密钥不仅出现在本地日志里，还通过对象 repr 被错误追踪系统一并采集上传。Issue 正文指出问题位置在 src/openai/_base_client.py 中打印请求选项的日志调用。

报错原文

At debug log level API requests to OpenAI get logged with all headers, including an API key, in plaintext

if log.isEnabledFor(logging.DEBUG):
      log.debug("Request options: %s", model_dump(options, exclude_unset=True))

原因分析

可能原因是：SDK 在 DEBUG 级别记录请求选项时，对 options 对象做了完整序列化输出，未对 Authorization 等敏感请求头做脱敏，因此 API key 被原样打印。评论中提到密钥也会出现在错误追踪系统的日志里，日志条目是该 Python 对象的默认 repr（pydantic BaseModel 的默认表示），说明对象被直接记录同样会泄露凭据。维护者确认这是 SDK 日志问题，并在 v3.4.0 中移除了该 request options dump。

环境排查

• 确认当前安装的 openai 版本，是否低于已修复的 v3.4.0（例如报告中的 v1.3.7）。
• 确认应用日志级别是否设置为 DEBUG，以及是否有 DEBUG 日志被持久化或转发。
• 确认是否使用了自定义 HTTP 客户端，升级前需参考 HTTPX2 迁移指南。
• 确认错误追踪、APM 或日志采集系统是否会记录对象 repr 或完整日志内容。
• 确认 API key 是否曾出现在可被检索的历史日志、日志平台或第三方错误追踪系统中。

解决步骤

1. 将 openai 升级到 v3.4.0 或更高版本，该版本已通过 PR #3685 移除会暴露凭据的 request options dump。
2. 若项目使用自定义 HTTP 客户端，升级时对照 HTTPX2 迁移指南检查并调整相关配置。
3. 检查并清理已有的日志与错误追踪记录，删除或脱敏其中出现的 API key 明文。
4. 在应用侧和错误追踪系统侧增加过滤规则，避免 pydantic 模型或其他凭据对象的 repr 被直接上报。
5. 如果密钥已经进入可能被他人访问的日志或第三方系统，按安全流程轮换该 API key。

验证方法

升级后，在 DEBUG 日志级别下重新运行一次调用 OpenAI 的请求，检查日志输出中不再出现 API key 明文，也不应再看到包含完整请求选项的 dump。同时确认错误追踪系统的新上报记录中不再包含凭据对象 repr。

参考来源

openai/openai-python #1196

AI 工具推荐

想把多个 AI 模型放在一个入口？

GamsGo AI 集成 ChatGPT、DeepSeek、Gemini、Claude、Midjourney、Veo 等常用模型，适合写作、绘图、视频和日常 AI 工作流。

了解 GamsGo AI

推广链接：通过此链接购买，我可能获得佣金，不影响你的价格。