用 New API 自建 AI 接口中转站：团队共用大模型 API，每人一把密钥、额度和用量都能管

团队里十来个人都要用 GPT、Claude、Gemini、DeepSeek 的 API，总不能把同一把官方密钥贴进群里。自己搭一个“中转站”，每人发一把独立密钥，额度、可用模型、调用记录都在一个后台里管起来。

本文以开源项目 New API 为主，讲清楚它是什么、和 One API 怎么选、怎么用 Docker Compose 部署并配好 HTTPS，以及团队日常怎么用。项目数据于 2026 年 10 月 10 日查阅 GitHub 和官方文档。

中转站是什么

这里说的“中转站”，正式一点叫 AI 网关或 API 网关：在一台服务器上运行一个程序，它对内给每个成员发放自己的密钥，对外统一连接各家模型厂商的官方接口。

成员的软件不再直接连 OpenAI 或 Anthropic，而是连你自己的网关；网关验证密钥、检查额度，再把请求转发给对应的上游，最后记一笔账。

做这件事最常用的开源项目有两个：

• One API：这一类项目的“鼻祖”，作者 songquanpeng，MIT 协议，GitHub 约 3.7 万星。最新发布版 v0.6.10（2025 年 2 月），主分支最后一次提交也在 2025 年 2 月，之后基本没有更新。
• New API：在 One API 基础上二次开发的分支，现在由 QuantumNous 维护，AGPL-3.0 协议，GitHub 约 4.9 万星。更新很勤，2026 年 10 月 10 日刚发布 v1.0.0-rc.43，官方 Docker 镜像同日更新。

两者用法相近，One API 能做的 New API 基本都能做，还多了 Claude、Gemini 原生格式接口、更完整的用量看板和权限管理。所以本文推荐 New API，One API 的差异放在后面的对比表里。

团队用 API 的几个痛点

• 一把密钥大家共用：谁用了多少、谁把额度刷爆了，根本查不出来；有人离职还得换密钥，所有人重新配置。
• 每家模型一套配置：OpenAI、Claude、Gemini、DeepSeek 的地址和密钥各不相同，每个成员每个软件都要配一遍。
• 成本没法控制：没办法给实习生限额 10 美元、只开放便宜模型。
• 买第三方中转不放心：网上卖的中转服务价格低，但对话内容经过别人的服务器，也说不清背后用的是不是官方模型。

New API 能做什么

以下功能来自 New API 的 GitHub 说明和官方文档：

• 统一接口：支持 OpenAI Chat Completions、Responses、Anthropic Messages 和 Gemini 几种协议，客户端按 OpenAI 格式发请求，网关可以转给 Claude、Gemini 等上游。
• 接入的上游多：OpenAI、Azure OpenAI、Anthropic、Google Gemini、Vertex AI、AWS Bedrock、DeepSeek、通义千问、智谱、Moonshot、火山引擎等，也能接 Ollama、vLLM 这类自建模型。
• 渠道调度：同一个模型可以配多个渠道，设置优先级和权重，失败自动重试，还能做模型名映射。
• 密钥（令牌）管理：每把密钥可以单独设置额度、过期时间、允许调用的模型、IP 白名单和分组。
• 用户与分组：管理员可以给每个成员开账号、调整额度、启用或禁用；分组可以设置不同倍率和可用渠道。
• 用量日志和看板：每次调用记录时间、用户、密钥、模型、Token 数、费用和耗时，看板按模型、用户统计。
• 其他：网页版游乐场（Playground）、两步验证、通行密钥（Passkey）登录、OAuth/OIDC 登录，界面支持简体中文。

准备工作

• 一台海外 VPS：Linux（Ubuntu 或 Debian 都行），1 核 1 GB 内存起步，跑官方的 PostgreSQL + Redis 组合建议 2 GB。这是经验值，官方没有写最低配置。
• 一个域名：比如 api.example.com，A 记录指向服务器 IP，用来配 HTTPS。
• 各家官方 API Key：OpenAI、Anthropic、Google AI Studio、DeepSeek 开放平台等，按团队实际要用的申请。

服务器选哪家，文末有推荐。

部署：Docker Compose 一键启动

第一步：安装 Docker

用 Docker 官方的安装脚本，装完自带 Compose 插件：

curl -fsSL https://get.docker.com | sh
docker compose version

第二步：下载 New API 并修改配置

官方仓库自带一份 docker-compose.yml，默认启动 New API + PostgreSQL + Redis 三个服务：

git clone https://github.com/QuantumNous/new-api.git
cd new-api
openssl rand -hex 32    # 生成一串随机字符，下面当 SESSION_SECRET 用
nano docker-compose.yml

需要改的地方有这几处（官方文件里都标了“生产环境必须修改”）：

services:
  new-api:
    image: calciumion/new-api:latest        # 建议改成固定版本，如 v1.0.0-rc.43
    ports:
      - "127.0.0.1:3000:3000"               # 只监听本机，由 Caddy 对外提供 HTTPS
    environment:
      - SQL_DSN=postgresql://root:换成强密码@postgres:5432/new-api
      - REDIS_CONN_STRING=redis://:换成另一个强密码@redis:6379
      - SESSION_SECRET=刚才生成的随机字符
      - SESSION_COOKIE_SECURE=true
      - SESSION_COOKIE_TRUSTED_URL=https://api.example.com

  redis:
    command: ["redis-server", "--requirepass", "换成另一个强密码"]

  postgres:
    environment:
      POSTGRES_PASSWORD: 换成强密码

几点说明：

• 官方示例里数据库和 Redis 的密码都是 123456，一定要改，而且连接串里的密码要跟着一起改。
• 端口写成 127.0.0.1:3000:3000，3000 端口就不会直接暴露到公网。Docker 映射的端口会绕过 ufw 之类的防火墙规则，这一步比在防火墙里拦更可靠。
• 两个 SESSION_COOKIE 选项是官方说明里通过 HTTPS 访问控制台时要加的，域名换成你自己的。

改完启动：

docker compose up -d
docker compose logs -f new-api

人少、内存小的话，也可以不用数据库，按官方 README 用单容器 + SQLite 跑，数据存在 data 目录里：

mkdir -p data
docker run --name new-api -d --restart unless-stopped \
  -p 127.0.0.1:3000:3000 \
  -e TZ=Asia/Shanghai \
  -v "$(pwd)/data:/data" \
  calciumion/new-api:latest

第三步：用 Caddy 配置反向代理和 HTTPS

Caddy 会自动申请并续期 Let’s Encrypt 证书，配置比 Nginx 简单。Debian / Ubuntu 按 Caddy 官方文档安装：

sudo apt install -y debian-keyring debian-archive-keyring apt-transport-https curl
curl -1sLf 'https://dl.cloudsmith.io/public/caddy/stable/gpg.key' | sudo gpg --dearmor -o /usr/share/keyrings/caddy-stable-archive-keyring.gpg
curl -1sLf 'https://dl.cloudsmith.io/public/caddy/stable/debian.deb.txt' | sudo tee /etc/apt/sources.list.d/caddy-stable.list
sudo chmod o+r /usr/share/keyrings/caddy-stable-archive-keyring.gpg
sudo chmod o+r /etc/apt/sources.list.d/caddy-stable.list
sudo apt update
sudo apt install caddy

把 /etc/caddy/Caddyfile 的内容换成下面这样，然后重载：

api.example.com {
    reverse_proxy 127.0.0.1:3000 {
        flush_interval -1
    }
}

sudo systemctl reload caddy

flush_interval -1 的作用是关闭响应缓冲，AI 回答才能一个字一个字地流式输出。服务器的 80 和 443 端口要放行，Caddy 才能拿到证书。

更习惯 Nginx 的话，核心配置如下，证书用 certbot 申请。关键是 proxy_buffering off（关闭缓冲，保证流式输出）和较长的读取超时：

server {
    listen 443 ssl;
    server_name api.example.com;
    # ssl_certificate 和 ssl_certificate_key 由 certbot 自动写入

    client_max_body_size 64m;

    location / {
        proxy_pass http://127.0.0.1:3000;
        proxy_http_version 1.1;
        proxy_set_header Host $host;
        proxy_set_header X-Real-IP $remote_addr;
        proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
        proxy_set_header X-Forwarded-Proto $scheme;
        proxy_set_header Upgrade $http_upgrade;
        proxy_set_header Connection "upgrade";
        proxy_buffering off;
        proxy_read_timeout 300s;
    }
}

第四步：初始化管理员账号

浏览器打开 https://api.example.com，新版 New API 会进入初始化向导，自己设置管理员用户名和密码。

注意：网上很多老教程写的“默认账号 root、密码 123456”是 One API（以及 New API 早期版本）的做法。如果你用的是 One API，第一次登录后必须马上改掉这个默认密码。

用法：从添加渠道到成员接入

添加渠道

渠道就是“上游”。在后台「渠道」里新建，类型选 OpenAI、Anthropic Claude、Gemini 或 DeepSeek，填入对应的官方 API Key 和要开放的模型，保存后点「测试」，能返回结果就说明通了。

同一个模型可以添加多个渠道（比如两把 OpenAI Key），设置优先级和权重，一个出错会自动切到另一个。

另外要在「模型」里确认这些模型配置了价格（倍率）。New API 按价格扣额度，没配价格的模型可能调用失败。

给成员开账号、发密钥

10 人左右的团队，常见做法有两种：

• 每人一个账号（推荐）：在「用户」里给每个成员建账号（或开放注册后让成员自己注册，再关掉注册），按人调整额度和分组。成员登录后自己在「API 密钥」里创建密钥，能看到自己的用量。
• 管理员统一发密钥：管理员在自己账号下按成员名建多把密钥，分别发出去。省事，但用量都记在管理员账号下，只能按密钥名区分。

创建密钥时可以设置：

• 额度：这把密钥最多能花多少，用完自动失效；
• 过期时间：给实习生、外包设个截止日期；
• 模型限制：比如只允许调用 DeepSeek 和 gpt-4o-mini 这类便宜模型；
• IP 白名单：只允许公司出口 IP 使用（需要反向代理正确传递真实 IP）；
• 分组：决定这把密钥走哪些渠道。

完整密钥只在创建时显示一次，记得马上复制。成员离职时直接禁用他的账号或密钥，其他人完全不受影响。

在常用软件里填 Base URL 和 Key

成员拿到密钥后，在支持“自定义 OpenAI 接口”的软件里填两样东西：接口地址和密钥。

模型名称填网关里开放的名字，比如 deepseek-chat、claude-sonnet-4 等，以后台「模型广场」里显示的为准。

想先用命令行确认能通，可以查一下这把密钥能用哪些模型：

curl https://api.example.com/v1/models \
  -H "Authorization: Bearer 成员的密钥"

New API 和 One API 怎么选

New API 用的是 AGPL-3.0 协议，团队内部自用没有问题；如果你修改了代码并对外提供服务，就要按协议公开修改后的源码，官方还要求保留署名。One API 是 MIT 协议，限制更少，但已经一年多没有新版本，新模型和新接口格式的适配跟不上。

优点和不足

优点：

• 成员管理清楚：一人一把密钥，额度、模型、过期时间单独管，离职一键禁用；
• 配置一次到处用：所有软件只认一个地址，换上游、加模型，成员那边不用改；
• 数据在自己手里：日志存在自己的服务器上，不经过第三方；
• 开源免费：部署只花服务器钱，一台入门 VPS 就够十来个人用。

不足：

• 需要一点运维能力：要会用 SSH、改配置、备份数据库，升级前要看发布说明；
• 多了一跳网络：比直连官方接口多一层转发，延迟会高一点；
• 账号风险还是你的：网关只是管理工具，上游账号被风控，整个团队一起停摆。

风险与注意事项

1. 注意上游的服务地区：OpenAI 和 Anthropic 的官方支持地区列表里都没有中国大陆（OpenAI 的列表也没有香港）。OpenAI 明确写了，在不支持的地区访问或提供访问，账号可能被封。团队成员在中国大陆的，建议网关接 DeepSeek、通义千问、智谱、豆包这些国内可正常使用的模型；团队和公司在支持地区，再接 OpenAI、Claude。
2. 多人共用一个上游账号要守规矩：十几个人的请求都从同一台服务器发出，用量突增或内容违规都可能触发风控。用公司名义开通正式的 API 账号、按量付费、设置用量上限，比个人账号稳妥。
3. 只给自己团队用，不要转卖：Anthropic 的商业条款写明，未经许可不得转售其服务；New API 的说明里也提醒，面向公众提供生成式 AI 服务或转售 API，要先完成备案、实名、内容安全等合规义务。不要开放公开注册、不要卖额度。
4. 自建比买第三方中转安全：网上来路不明的中转站，可能记录你的全部对话，也可能用便宜模型冒充贵的模型，出了问题也找不到人。自己搭，至少知道请求去了哪里、花了多少钱。
5. 保护好管理后台：管理员密码设复杂，开启两步验证；关闭公开注册；数据库和 Redis 换掉示例密码；3000 端口只监听本机；定期备份数据库，升级前先备份。
6. 保管好上游密钥：网关数据库里存着所有官方 API Key，服务器被入侵等于密钥全部泄露。给上游账号设置每月消费上限，发现异常立刻作废重建。

服务器推荐

网关本身很轻，主要看两点：服务器所在地区要在上游模型的支持范围内，到你们团队的网络要稳定。美国、日本机房是常见选择。下面三家都是我们之前比较过的商家，价格为官网 2026 年 10 月的入门标价：

• 搬瓦工：老牌商家，入门款 49.99 美元/年（1 GB 内存、20 GB SSD），可以在不同机房之间迁移，自带备份，适合求稳的团队。搬瓦工官网
• DMIT：以线路质量著称，东京、香港的 Premium 系列线路更好，价格也更高；洛杉矶 Tier 1 系列 36.90 美元/年起。DMIT 官网
• RackNerd：预算最低的选择，入门 26.99 美元/年，但只有 512 MB 内存，建议用上面的单容器 SQLite 方式部署，或者选 1 GB 以上的套餐。RackNerd 官网

便宜套餐多是限量促销，可能随时售罄或调价，下单前以官网实时价格为准。

适合谁

• 5 到 20 人左右、需要共用大模型 API 的小团队、工作室、实验室；
• 想统一管理 OpenAI、Claude、Gemini、DeepSeek 等多家模型，按人控制成本的技术负责人；
• 自己有多个 AI 软件、想集中管理密钥和用量的个人开发者。

如果团队只有两三个人、只用一家模型，直接各自在官方平台开子账号或项目密钥可能更省事。

项目信息

资料来源

• New API GitHub 仓库与中文说明、docker-compose.yml、发布页、Docker Hub 镜像
• New API 文档：Docker Compose 部署、API 密钥、功能指南
• One API GitHub 仓库、One API 发布页
• Caddy 安装文档、Caddy reverse_proxy 说明、Nginx proxy 模块文档
• Cherry Studio 接入 New API、沉浸式翻译自定义 OpenAI 地址
• OpenAI API 支持的国家和地区、Anthropic 支持的国家和地区、Anthropic 商业条款