前端安全接入

切勿在浏览器代码里直接放 API Key。正确做法是让前端请求你自己的后端，由后端附加 Key 再转发给 BOQA。

// 你的后端（Node.js 示意）
app.post("/api/solve", async (req, res) => {
  const r = await fetch("https://api.boqa.ai/v1/solve", {
    method: "POST",
    headers: {
      "Content-Type": "application/json",
      "X-API-Key": process.env.BOQA_API_KEY,  // 仅服务端可见
    },
    body: JSON.stringify(req.body),
  });
  res.status(r.status).send(await r.text());
});

这样浏览器始终看不到 API Key，即使打开开发者工具也抓不到。