安全
Router One 是请求链路上的代理。这一页把我们究竟记录什么、绝不存什么、数据怎么走，全部写清楚——让安全审计不必依赖销售话术。
最后更新:
我们不存
- 请求体
- prompt 内容、对话历史一概不持久化，实时透传。
- 响应体
- 模型补全不持久化，流式响应逐字节转发。
我们会记的元数据
- 每请求元数据
- 时间戳、项目和 API key ID、使用的模型（含 fallback 链）、输入/输出/缓存 token 数、延迟、状态码、计算出的花费。
- 为什么记
- 这些是每请求 trace、账单对账以及路由决策的基础——没有这些 Gateway 就只是一根直通管，可观测性也就无从谈起。
传输与密钥处理
- TLS
- 所有入站/出站流量都走 TLS 1.2+，HTTP 明文请求在边缘直接拒绝。
- API key
- 用户 key 静态存储为 hash 值；创建之后任何接口都不会再返回明文。
- 上游凭据
- 上游 provider key 由平台持有并定期轮换，用户从不接触上游凭据。
上游行为
- 透传
- 请求离开 Router One 后，按上游 provider 自己的数据政策处理，他们的留存我们控不了。
- Provider 选择
- 智能路由可能在同一模型族的多家 provider 之间切换，每次实际使用的 provider 在 trace 里有记录。
常见问题
- Router One 会用我的 prompt 或响应做训练吗？
- 不会。请求体与响应体都不留存，我们也没有训练数据流水线。
- 我能导出 Router One 对我账户记录的元数据吗？
- 可以。Dashboard 提供每请求 trace 和聚合指标，企业合同可加程序化导出。
- 元数据保留多久？
- 可观测性保留 90 天，账单对账保留 13 个月，到期清除。企业合同可调整。