ollama 怎么看 api key

很多人装完 Ollama，照着别的平台的习惯去控制台找 API key，翻半天找不到，就开始怀疑自己装错了。其实这里有个前提要先分清：本地跑的 Ollama 默认是裸奔的，没有账号体系也就没有 key。这篇按「先确认有没有、再去哪看、最后怎么自己加」的顺序走一遍，避免你把 Open WebUI、Dify 那类外层工具生成的 key 当成 Ollama 自己的。

很多人装完 Ollama，第一反应是去控制台找 API key，翻半天找不到，就开始怀疑自己装错了。这里有个前提要先分清：本地跑的 Ollama 默认是裸奔的，没有账号体系，也就没有 key 这回事。你按别的云平台习惯去找「账号里的 API key」，在 Ollama 这条路上本来就不成立。

这篇按「先确认有没有、再去哪看、最后怎么自己加」的顺序走一遍。顺便把常见的误会拆开：你看到的那个 key，多半来自外层工具或者中转平台，不是 Ollama 自己的。分清来源，后面排查才不会南辕北辙。

先搞清楚：Ollama 默认根本没有 key

Ollama 是一个本地推理服务，默认监听本机端口，请求进来不校验身份。没有注册、没有登录、没有控制台发号，所以「账号里的 API key」这个概念它压根就没有。官方文档给的调用示例也不带 Authorization 头，能直连通，就说明当前就是无鉴权状态。

什么时候这条不适用？两种。一是你把端口暴露到公网了，二是你用云端托管的 Ollama 服务。这两种情况下服务不再只属于你一个人，必须先自己加一层防护，否则等于把接口敞开给所有人用。

你看到的那个 key，多半不是 Ollama 自己的

前端工具连接 Ollama 时，key 由这些工具自己签发。你在设置里填的那把，是给工具看的，不是给 Ollama 看的。中转站或云厂商提供的「Ollama 兼容接口」也一样，key 归属那家平台，要看那家的控制台，而不是你本机这台。

自查动作很简单：先确认你现在填的地址是本机端口，还是别人给你的域名。地址来源决定了 key 来源。地址是本机，就不该有 key；地址是别人的，那 key 必然在别人那边，去本地翻是白费力气。

想给本地接口加一层 key，怎么加

Ollama 自己不做 key 签发，要加鉴权，常见做法是在它前面挂一个反向代理，由代理来校验 Authorization 头。这样既不动 Ollama 本体，也能把访问控制集中在一处，出问题好定位。

1. 确认监听范围先看服务只监听本机还是已经对外。只在本机用，加鉴权收益很低，反而多一层故障点。
2. 配代理转发让代理把请求转发到 Ollama 的端口，把允许的 key 写进代理配置，其余请求一律拒绝。
3. 改前端地址前端工具里要同步改成填代理地址和这把 key，否则会出现「明明加了鉴权却连不上」。
4. 双向验证用带 key 和不带 key 的请求各测一次，一个通一个不通，才算配对了。

不适用场景也说清楚：如果你只是本机自用、不对外开放，加鉴权属于给自己上难度，不建议。反过来，只要服务能被局域网外的人摸到，就必须加，没有商量余地。

五分钟排查：确认你的服务当前是什么状态

别急着改配置，先把现状定性。定性错了，后面每一步都是白做。按下面四步走，基本五分钟能得出结论，并在纸上写下属于哪种情况。

• 看监听地址与端口，判断是否暴露到本机之外；
• 发一个不带任何鉴权头的请求，能通就说明没有 key 校验；
• 看日志里有没有鉴权相关报错，能直接指出是本地服务、代理还是前端拦的；
• 把结论记下来：无鉴权 / 代理鉴权 / 上游平台鉴权，三种情况排查方向完全不同。

无鉴权

本机直连，没有 key 这回事，重点看监听范围

代理鉴权

key 由你自己的反向代理管，检查代理配置与前端地址

上游平台鉴权

key 归中转站或云厂商，去对应控制台核对当时的说明

判断完之后，如果你用的是中转平台或云厂商的兼容接口，key 的具体形态、有效期、额度这些数字各家不一样，别记死，直接到站内的中转站与价格追踪页核对当时的说法就行。