1. 多 AI 工具接入时Key 分散到底有多痛如果你同时用 Claude Code、Cursor、Cline、Continue、OpenAI SDK 脚本还有几个自建的小工具大概率会遇到同一个问题每个工具都要单独配一份 API Key每个 Key 的额度、模型、限流策略都不一样。改一次配置要翻五六个文件某个 Key 过期了还得挨个排查是哪个工具在报 401。我试过最原始的做法——把 Key 写死在每个项目的.env里。结果就是换一次 Key十几个仓库都要改团队里有人离职所有 Key 全部轮换光改配置就花掉半天。更麻烦的是Docker 环境里跑的服务容器重启后环境变量没同步日志里全是invalid api key但你根本不知道是哪个容器在用旧 Key。这个场景下反向代理的价值就出来了。不是让 Traefik 去代理大模型请求本身而是让 Traefik 作为统一入口把不同工具、不同容器的请求收敛到一个域名下再由这个入口统一注入 Key、统一做路由。工具侧只需要知道一个地址Key 的管理全部收口到一处。TaoToken 在这里扮演的角色是提供一个兼容 OpenAI 接口规范的统一 Key 接入点。你拿一个 Key就能在多个工具里复用不用每个工具去申请不同的凭证。配合 Traefik 的反向代理Docker 里的服务只需要访问http://taotoken-proxy这样的内部域名Traefik 负责转发到https://taotoken.net/apiKey 通过中间件统一注入。这篇要交付的就是这套骨架一份可复制的 Traefik 动态配置文件一份 TaoToken 统一 Key 接入的 Docker Compose 片段以及容器起来之后怎么验证反向代理真的生效了。适合已经在用 Docker、想把手头多个 AI 工具的 Key 管理收口的人。2. TaoToken 前置准备拿 Key 和确认接入地址在动 Traefik 配置之前先把 TaoToken 这边的接入信息准备好。这一步不复杂但顺序别搞反——先有 Key再配代理否则 Traefik 起来了你也没法验证。2.1 获取统一 Key访问 TaoToken 控制台在 API Keys 页面创建一个新的 Key。这个 Key 就是你后面所有工具共用的凭证。创建的时候注意两点一是给它起个能认出来的名字比如docker-traefik-shared方便后面排查是哪个环境在用二是如果控制台支持设置额度或模型范围按你实际要用的模型勾选别一上来就全开。创建完成后把 Key 复制出来形如sk-xxxxxxxx。这个值只显示一次丢了就得重建。2.2 确认 API 接入地址TaoToken 的 API 入口是https://taotoken.net/api注意这里不带任何路径后缀具体的/v1/chat/completions由工具侧自己拼。Traefik 转发的时候我们保持路径原样透传不做 rewrite这样兼容性最好——OpenAI SDK、Claude Code、Cline 这些工具默认都会在 base URL 后面拼/v1/...你如果提前 rewrite 掉反而会 404。如果你用的是 Claude Code 这类走 Anthropic 协议的工具接入地址和模型名会有单独说明可以在文档里查对应的 endpoint。但底层逻辑一样一个 Key一个入口Traefik 负责把请求送到这个入口。2.3 把 Key 放进 Docker 环境变量不要在 Traefik 配置文件里硬编码 Key。正确做法是放进.env文件由 Docker Compose 注入Traefik 通过环境变量读取。这样 Key 不会进 Git轮换的时候也只改一个地方。在项目根目录建一个.env# .env TAOTOKEN_API_KEYsk-你的实际Key TAOTOKEN_API_BASEhttps://taotoken.net/api.env记得加进.gitignore。后面 Traefik 的中间件会引用TAOTOKEN_API_KEY这个变量。3. 可复制的 Traefik 动态配置与 TaoToken 接入骨架这一章是核心。我会给出一份完整的docker-compose.yaml和一份 Traefik 动态配置文件你直接复制改域名就能用。整体结构是Traefik 作为边缘入口监听 80/443一个内部服务taotoken-proxy作为统一出口所有 AI 工具的请求都打到它Traefik 通过中间件给这个出口注入 Authorization 头。3.1 目录结构先按这个结构建文件. ├── .env ├── docker-compose.yaml └── data ├── traefik.yml ├── dynamic.yml └── acme.jsonacme.json只需要创建空文件权限设成600否则 Traefik 启动会报证书存储权限错误touch data/acme.json chmod 600 data/acme.json3.2 Traefik 静态配置 traefik.yml静态配置管入口点和证书解析动态配置管路由和中间件。先看data/traefik.yml# data/traefik.yml entryPoints: web: address: :80 http: redirections: entryPoint: to: websecure scheme: https websecure: address: :443 providers: docker: endpoint: unix:///var/run/docker.sock exposedByDefault: false watch: true file: filename: /etc/traefik/dynamic.yml watch: true certificatesResolvers: letsencrypt: acme: email: youexample.com storage: /acme.json httpChallenge: entryPoint: web api: dashboard: true insecure: false log: level: INFO几个关键点exposedByDefault: false意味着容器不会自动暴露必须显式打 label 才走 Traefik这是安全基线。fileprovider 指向/etc/traefik/dynamic.yml我们后面把 TaoToken 的中间件写在那里。证书用 HTTP challenge如果你域名没备案或者 80 端口不方便可以换成 DNS challenge但那是另一套配置这里先用最简单的。3.3 动态配置 dynamic.ymlTaoToken 中间件data/dynamic.yml是重点。这里定义了一个headers中间件把 Authorization 头统一注入还定义了一个redirect中间件处理协议跳转# data/dynamic.yml http: middlewares: taotoken-auth: headers: customRequestHeaders: Authorization: Bearer ${TAOTOKEN_API_KEY} taotoken-strip: stripPrefix: prefixes: - /taotoken routers: taotoken-router: rule: PathPrefix(/taotoken) entryPoints: - websecure middlewares: - taotoken-strip - taotoken-auth service: taotoken-service tls: {} services: taotoken-service: loadBalancer: servers: - url: https://taotoken.net/api passHostHeader: true这里有个细节要注意Traefik 的动态配置文件默认不支持${}环境变量插值直接写${TAOTOKEN_API_KEY}会被当成字面量。解决办法有两个——一是用 Traefik 的envprovider二是把 Key 通过 Docker Compose 的environment注入到 Traefik 容器然后在动态配置里用{{ env TAOTOKEN_API_KEY }}这种 Go template 语法。但 file provider 不解析 template所以最稳的做法是动态配置里不写 Key改用 Traefik 的forwardAuth或者直接在 Compose 里用command参数覆盖。为了让你复制就能跑我改成更直接的方式把中间件定义放在 Compose 的 label 里label 支持环境变量插值。这样 Key 从.env进来不落盘到动态配置文件。3.4 docker-compose.yaml 完整骨架# docker-compose.yaml services: traefik: image: traefik:v3.0 container_name: traefik restart: unless-stopped security_opt: - no-new-privileges:true ports: - 80:80 - 443:443 environment: - TAOTOKEN_API_KEY${TAOTOKEN_API_KEY} volumes: - /etc/localtime:/etc/localtime:ro - /var/run/docker.sock:/var/run/docker.sock:ro - ./data/traefik.yml:/etc/traefik/traefik.yml:ro - ./data/dynamic.yml:/etc/traefik/dynamic.yml:ro - ./data/acme.json:/acme.json networks: - traefik-net labels: - traefik.enabletrue - traefik.http.routers.dashboard.ruleHost(traefik.example.com) - traefik.http.routers.dashboard.entrypointswebsecure - traefik.http.routers.dashboard.tlstrue - traefik.http.routers.dashboard.tls.certresolverletsencrypt - traefik.http.routers.dashboard.serviceapiinternal taotoken-proxy: image: traefik/whoami:v1.10 container_name: taotoken-proxy restart: unless-stopped networks: - traefik-net labels: - traefik.enabletrue - traefik.http.routers.taotoken.ruleHost(ai.example.com) PathPrefix(/v1) - traefik.http.routers.taotoken.entrypointswebsecure - traefik.http.routers.taotoken.tlstrue - traefik.http.routers.taotoken.tls.certresolverletsencrypt - traefik.http.routers.taotoken.middlewarestaotoken-auth - traefik.http.middlewares.taotoken-auth.headers.customrequestheaders.AuthorizationBearer ${TAOTOKEN_API_KEY} - traefik.http.services.taotoken.loadbalancer.server.port80 networks: traefik-net: name: traefik-net这里taotoken-proxy用的是whoami镜像它只是个占位后端作用是让你先验证 Traefik 的路由和中间件是否生效。真正接入 TaoToken 的时候你有两种选择一是把taotoken-proxy换成一个真正的转发容器二是直接在 Traefik 的 service 里指向https://taotoken.net/api。后者更干净但需要把 service 定义从 label 挪到动态配置文件里因为 label 里的loadbalancer.server.url不支持外部 HTTPS 地址的完整写法。所以实际生产用法是保留dynamic.yml里的taotoken-service指向https://taotoken.net/api中间件用 label 注入 Key路由用动态配置。两者结合。3.5 启动容器docker compose up -d docker compose logs -f traefik日志里看到Configuration loaded和Starting provider *file.Provider就说明静态和动态配置都加载了。如果报acme.json权限错误回去检查chmod 600。4. 验证反向代理生效具体命令与检查步骤容器起来不代表配置对了。这一章给你一套从外到内的验证流程每一步都有明确的预期结果。4.1 检查 Traefik 是否识别到路由先看 Traefik 的 API确认路由和中间件都注册了curl -s http://localhost:8080/api/http/routers | jq .[].name如果你没开 8080 的 insecure API这一步可以跳过直接看 dashboard。dashboard 里HTTP Routers应该能看到taotokendocker和dashboardinternal两条。HTTP Middlewares里应该有taotoken-authdocker。4.2 验证中间件是否注入了 Authorization用whoami后端的好处是它会把收到的请求头原样返回。发一个请求curl -k -H Host: ai.example.com https://localhost/v1/chat/completions预期返回里能看到Authorization: Bearer sk-...这一行。如果没看到说明中间件没生效检查 label 里customrequestheaders.Authorization的大小写——Traefik 对 header 名大小写不敏感但值里的Bearer后面必须有空格。4.3 验证路径透传是否正确curl -k -H Host: ai.example.com https://localhost/v1/modelswhoami会返回它收到的路径。确认返回的路径是/v1/models没有被 rewrite 掉。如果变成了/models说明你多配了 stripPrefix去掉即可。4.4 用真实工具验证端到端拿 OpenAI SDK 举例把 base URL 指向你的 Traefik 域名from openai import OpenAI client OpenAI( api_key任意值Traefik 会覆盖, base_urlhttps://ai.example.com/v1 ) resp client.chat.completions.create( modelgpt-4o-mini, messages[{role: user, content: ping}] ) print(resp.choices[0].message.content)注意api_key这里填什么都行因为 Traefik 的中间件会把 Authorization 头覆盖成.env里的真实 Key。这就是统一 Key 接入的核心——工具侧不需要知道真实 Key只需要知道 Traefik 的地址。如果返回 401先确认.env里的 Key 没有多余空格再确认 Traefik 容器里echo $TAOTOKEN_API_KEY能打印出正确值。4.5 检查容器网络连通性docker exec traefik wget -qO- http://taotoken-proxy:80能返回whoami的页面说明 Traefik 和 backend 在同一网络里。如果报no such host检查两个服务是否都挂在traefik-net下。5. 本篇常见错排查配置 Traefik 反代 TaoToken 的过程中下面这几个错我踩过你大概率也会遇到。5.1 401 UnauthorizedKey 没注入或格式不对最常见的原因是.env文件里 Key 带了引号或者换行。Docker Compose 读.env时不会自动去引号TAOTOKEN_API_KEYsk-xxx会把引号也当成值的一部分。正确写法是不加引号TAOTOKEN_API_KEYsk-xxx另一个原因是中间件 label 写在了 router 上但没写对名字。检查traefik.http.routers.taotoken.middlewarestaotoken-auth和traefik.http.middlewares.taotoken-auth...这两行的名字是否完全一致Traefik 对名字大小写敏感。5.2 404 Not Found路径规则没匹配上Traefik 的PathPrefix是前缀匹配/v1能匹配/v1/chat/completions但匹配不了/v1本身后面不带斜杠的情况。如果你请求的是/v1加一条Path(/v1)或者直接用PathPrefix(/)全放行。另外确认entryPoints写的是websecure而不是web走 80 端口会被重定向到 443curl 不加-L会看到 301。5.3 502 Bad Gateway后端地址不可达如果 service 指向的是https://taotoken.net/api502 通常是 DNS 解析问题。Traefik 容器里的 DNS 配置可能和宿主机不同可以在 Compose 里给 Traefik 加dns: 223.5.5.5。另外passHostHeader: true要确认TaoToken 的入口对 Host 头有校验传错会拒绝。5.4 证书申请失败acme.json 权限或 80 端口占用Lets Encrypt 的 HTTP challenge 需要 80 端口能从公网访问。如果你宿主机上已经有 Nginx 占了 80Traefik 起不来或者 challenge 失败。解决办法是把 Nginx 停掉或者改用 DNS challenge。acme.json权限必须是 600Traefik 会检查权限不对直接拒绝写入。5.5 动态配置不生效file provider 路径写错traefik.yml里providers.file.filename写的是容器内路径/etc/traefik/dynamic.yml而 Compose 里挂载的是./data/dynamic.yml:/etc/traefik/dynamic.yml:ro。这两个路径必须对应。如果你改成了/config.yml挂载也要跟着改。改完配置后 Traefik 的watch: true会自动重载不用重启容器但日志里要看到Configuration reloaded才算成功。6. 把 Key 收口之后工具侧怎么接Traefik 这套骨架跑通之后你手头所有 AI 工具的接入方式就统一了base URL 填https://ai.example.com/v1Key 随便填一个占位符真实 Key 由 Traefik 在转发时注入。新增一个工具只需要在它的配置里改一行 base URL不用再去 TaoToken 控制台建新 Key。如果你还在用 Claude Code 这类走 Anthropic 协议的工具接入地址和模型名有单独的映射规则可以在 TaoToken 的接入文档里查对应的 endpoint 写法。核心逻辑不变一个入口一个 KeyTraefik 负责路由和注入。长期跑编码 Agent 或者多工具并行的场景建议看一下 Coding Plan 的额度策略避免多个工具同时打满限流。验证模型连通性的时候模型对话页面可以直接测不用每次都起容器。配置改完记得docker compose restart traefik然后按第 4 章的 curl 命令再跑一遍。这套东西一旦跑通后面加工具就是复制 label 改域名的事。
Docker 环境中使用 Traefik 进行反向代理：TaoToken 统一 Key 接入配置实战
1. 多 AI 工具接入时Key 分散到底有多痛如果你同时用 Claude Code、Cursor、Cline、Continue、OpenAI SDK 脚本还有几个自建的小工具大概率会遇到同一个问题每个工具都要单独配一份 API Key每个 Key 的额度、模型、限流策略都不一样。改一次配置要翻五六个文件某个 Key 过期了还得挨个排查是哪个工具在报 401。我试过最原始的做法——把 Key 写死在每个项目的.env里。结果就是换一次 Key十几个仓库都要改团队里有人离职所有 Key 全部轮换光改配置就花掉半天。更麻烦的是Docker 环境里跑的服务容器重启后环境变量没同步日志里全是invalid api key但你根本不知道是哪个容器在用旧 Key。这个场景下反向代理的价值就出来了。不是让 Traefik 去代理大模型请求本身而是让 Traefik 作为统一入口把不同工具、不同容器的请求收敛到一个域名下再由这个入口统一注入 Key、统一做路由。工具侧只需要知道一个地址Key 的管理全部收口到一处。TaoToken 在这里扮演的角色是提供一个兼容 OpenAI 接口规范的统一 Key 接入点。你拿一个 Key就能在多个工具里复用不用每个工具去申请不同的凭证。配合 Traefik 的反向代理Docker 里的服务只需要访问http://taotoken-proxy这样的内部域名Traefik 负责转发到https://taotoken.net/apiKey 通过中间件统一注入。这篇要交付的就是这套骨架一份可复制的 Traefik 动态配置文件一份 TaoToken 统一 Key 接入的 Docker Compose 片段以及容器起来之后怎么验证反向代理真的生效了。适合已经在用 Docker、想把手头多个 AI 工具的 Key 管理收口的人。2. TaoToken 前置准备拿 Key 和确认接入地址在动 Traefik 配置之前先把 TaoToken 这边的接入信息准备好。这一步不复杂但顺序别搞反——先有 Key再配代理否则 Traefik 起来了你也没法验证。2.1 获取统一 Key访问 TaoToken 控制台在 API Keys 页面创建一个新的 Key。这个 Key 就是你后面所有工具共用的凭证。创建的时候注意两点一是给它起个能认出来的名字比如docker-traefik-shared方便后面排查是哪个环境在用二是如果控制台支持设置额度或模型范围按你实际要用的模型勾选别一上来就全开。创建完成后把 Key 复制出来形如sk-xxxxxxxx。这个值只显示一次丢了就得重建。2.2 确认 API 接入地址TaoToken 的 API 入口是https://taotoken.net/api注意这里不带任何路径后缀具体的/v1/chat/completions由工具侧自己拼。Traefik 转发的时候我们保持路径原样透传不做 rewrite这样兼容性最好——OpenAI SDK、Claude Code、Cline 这些工具默认都会在 base URL 后面拼/v1/...你如果提前 rewrite 掉反而会 404。如果你用的是 Claude Code 这类走 Anthropic 协议的工具接入地址和模型名会有单独说明可以在文档里查对应的 endpoint。但底层逻辑一样一个 Key一个入口Traefik 负责把请求送到这个入口。2.3 把 Key 放进 Docker 环境变量不要在 Traefik 配置文件里硬编码 Key。正确做法是放进.env文件由 Docker Compose 注入Traefik 通过环境变量读取。这样 Key 不会进 Git轮换的时候也只改一个地方。在项目根目录建一个.env# .env TAOTOKEN_API_KEYsk-你的实际Key TAOTOKEN_API_BASEhttps://taotoken.net/api.env记得加进.gitignore。后面 Traefik 的中间件会引用TAOTOKEN_API_KEY这个变量。3. 可复制的 Traefik 动态配置与 TaoToken 接入骨架这一章是核心。我会给出一份完整的docker-compose.yaml和一份 Traefik 动态配置文件你直接复制改域名就能用。整体结构是Traefik 作为边缘入口监听 80/443一个内部服务taotoken-proxy作为统一出口所有 AI 工具的请求都打到它Traefik 通过中间件给这个出口注入 Authorization 头。3.1 目录结构先按这个结构建文件. ├── .env ├── docker-compose.yaml └── data ├── traefik.yml ├── dynamic.yml └── acme.jsonacme.json只需要创建空文件权限设成600否则 Traefik 启动会报证书存储权限错误touch data/acme.json chmod 600 data/acme.json3.2 Traefik 静态配置 traefik.yml静态配置管入口点和证书解析动态配置管路由和中间件。先看data/traefik.yml# data/traefik.yml entryPoints: web: address: :80 http: redirections: entryPoint: to: websecure scheme: https websecure: address: :443 providers: docker: endpoint: unix:///var/run/docker.sock exposedByDefault: false watch: true file: filename: /etc/traefik/dynamic.yml watch: true certificatesResolvers: letsencrypt: acme: email: youexample.com storage: /acme.json httpChallenge: entryPoint: web api: dashboard: true insecure: false log: level: INFO几个关键点exposedByDefault: false意味着容器不会自动暴露必须显式打 label 才走 Traefik这是安全基线。fileprovider 指向/etc/traefik/dynamic.yml我们后面把 TaoToken 的中间件写在那里。证书用 HTTP challenge如果你域名没备案或者 80 端口不方便可以换成 DNS challenge但那是另一套配置这里先用最简单的。3.3 动态配置 dynamic.ymlTaoToken 中间件data/dynamic.yml是重点。这里定义了一个headers中间件把 Authorization 头统一注入还定义了一个redirect中间件处理协议跳转# data/dynamic.yml http: middlewares: taotoken-auth: headers: customRequestHeaders: Authorization: Bearer ${TAOTOKEN_API_KEY} taotoken-strip: stripPrefix: prefixes: - /taotoken routers: taotoken-router: rule: PathPrefix(/taotoken) entryPoints: - websecure middlewares: - taotoken-strip - taotoken-auth service: taotoken-service tls: {} services: taotoken-service: loadBalancer: servers: - url: https://taotoken.net/api passHostHeader: true这里有个细节要注意Traefik 的动态配置文件默认不支持${}环境变量插值直接写${TAOTOKEN_API_KEY}会被当成字面量。解决办法有两个——一是用 Traefik 的envprovider二是把 Key 通过 Docker Compose 的environment注入到 Traefik 容器然后在动态配置里用{{ env TAOTOKEN_API_KEY }}这种 Go template 语法。但 file provider 不解析 template所以最稳的做法是动态配置里不写 Key改用 Traefik 的forwardAuth或者直接在 Compose 里用command参数覆盖。为了让你复制就能跑我改成更直接的方式把中间件定义放在 Compose 的 label 里label 支持环境变量插值。这样 Key 从.env进来不落盘到动态配置文件。3.4 docker-compose.yaml 完整骨架# docker-compose.yaml services: traefik: image: traefik:v3.0 container_name: traefik restart: unless-stopped security_opt: - no-new-privileges:true ports: - 80:80 - 443:443 environment: - TAOTOKEN_API_KEY${TAOTOKEN_API_KEY} volumes: - /etc/localtime:/etc/localtime:ro - /var/run/docker.sock:/var/run/docker.sock:ro - ./data/traefik.yml:/etc/traefik/traefik.yml:ro - ./data/dynamic.yml:/etc/traefik/dynamic.yml:ro - ./data/acme.json:/acme.json networks: - traefik-net labels: - traefik.enabletrue - traefik.http.routers.dashboard.ruleHost(traefik.example.com) - traefik.http.routers.dashboard.entrypointswebsecure - traefik.http.routers.dashboard.tlstrue - traefik.http.routers.dashboard.tls.certresolverletsencrypt - traefik.http.routers.dashboard.serviceapiinternal taotoken-proxy: image: traefik/whoami:v1.10 container_name: taotoken-proxy restart: unless-stopped networks: - traefik-net labels: - traefik.enabletrue - traefik.http.routers.taotoken.ruleHost(ai.example.com) PathPrefix(/v1) - traefik.http.routers.taotoken.entrypointswebsecure - traefik.http.routers.taotoken.tlstrue - traefik.http.routers.taotoken.tls.certresolverletsencrypt - traefik.http.routers.taotoken.middlewarestaotoken-auth - traefik.http.middlewares.taotoken-auth.headers.customrequestheaders.AuthorizationBearer ${TAOTOKEN_API_KEY} - traefik.http.services.taotoken.loadbalancer.server.port80 networks: traefik-net: name: traefik-net这里taotoken-proxy用的是whoami镜像它只是个占位后端作用是让你先验证 Traefik 的路由和中间件是否生效。真正接入 TaoToken 的时候你有两种选择一是把taotoken-proxy换成一个真正的转发容器二是直接在 Traefik 的 service 里指向https://taotoken.net/api。后者更干净但需要把 service 定义从 label 挪到动态配置文件里因为 label 里的loadbalancer.server.url不支持外部 HTTPS 地址的完整写法。所以实际生产用法是保留dynamic.yml里的taotoken-service指向https://taotoken.net/api中间件用 label 注入 Key路由用动态配置。两者结合。3.5 启动容器docker compose up -d docker compose logs -f traefik日志里看到Configuration loaded和Starting provider *file.Provider就说明静态和动态配置都加载了。如果报acme.json权限错误回去检查chmod 600。4. 验证反向代理生效具体命令与检查步骤容器起来不代表配置对了。这一章给你一套从外到内的验证流程每一步都有明确的预期结果。4.1 检查 Traefik 是否识别到路由先看 Traefik 的 API确认路由和中间件都注册了curl -s http://localhost:8080/api/http/routers | jq .[].name如果你没开 8080 的 insecure API这一步可以跳过直接看 dashboard。dashboard 里HTTP Routers应该能看到taotokendocker和dashboardinternal两条。HTTP Middlewares里应该有taotoken-authdocker。4.2 验证中间件是否注入了 Authorization用whoami后端的好处是它会把收到的请求头原样返回。发一个请求curl -k -H Host: ai.example.com https://localhost/v1/chat/completions预期返回里能看到Authorization: Bearer sk-...这一行。如果没看到说明中间件没生效检查 label 里customrequestheaders.Authorization的大小写——Traefik 对 header 名大小写不敏感但值里的Bearer后面必须有空格。4.3 验证路径透传是否正确curl -k -H Host: ai.example.com https://localhost/v1/modelswhoami会返回它收到的路径。确认返回的路径是/v1/models没有被 rewrite 掉。如果变成了/models说明你多配了 stripPrefix去掉即可。4.4 用真实工具验证端到端拿 OpenAI SDK 举例把 base URL 指向你的 Traefik 域名from openai import OpenAI client OpenAI( api_key任意值Traefik 会覆盖, base_urlhttps://ai.example.com/v1 ) resp client.chat.completions.create( modelgpt-4o-mini, messages[{role: user, content: ping}] ) print(resp.choices[0].message.content)注意api_key这里填什么都行因为 Traefik 的中间件会把 Authorization 头覆盖成.env里的真实 Key。这就是统一 Key 接入的核心——工具侧不需要知道真实 Key只需要知道 Traefik 的地址。如果返回 401先确认.env里的 Key 没有多余空格再确认 Traefik 容器里echo $TAOTOKEN_API_KEY能打印出正确值。4.5 检查容器网络连通性docker exec traefik wget -qO- http://taotoken-proxy:80能返回whoami的页面说明 Traefik 和 backend 在同一网络里。如果报no such host检查两个服务是否都挂在traefik-net下。5. 本篇常见错排查配置 Traefik 反代 TaoToken 的过程中下面这几个错我踩过你大概率也会遇到。5.1 401 UnauthorizedKey 没注入或格式不对最常见的原因是.env文件里 Key 带了引号或者换行。Docker Compose 读.env时不会自动去引号TAOTOKEN_API_KEYsk-xxx会把引号也当成值的一部分。正确写法是不加引号TAOTOKEN_API_KEYsk-xxx另一个原因是中间件 label 写在了 router 上但没写对名字。检查traefik.http.routers.taotoken.middlewarestaotoken-auth和traefik.http.middlewares.taotoken-auth...这两行的名字是否完全一致Traefik 对名字大小写敏感。5.2 404 Not Found路径规则没匹配上Traefik 的PathPrefix是前缀匹配/v1能匹配/v1/chat/completions但匹配不了/v1本身后面不带斜杠的情况。如果你请求的是/v1加一条Path(/v1)或者直接用PathPrefix(/)全放行。另外确认entryPoints写的是websecure而不是web走 80 端口会被重定向到 443curl 不加-L会看到 301。5.3 502 Bad Gateway后端地址不可达如果 service 指向的是https://taotoken.net/api502 通常是 DNS 解析问题。Traefik 容器里的 DNS 配置可能和宿主机不同可以在 Compose 里给 Traefik 加dns: 223.5.5.5。另外passHostHeader: true要确认TaoToken 的入口对 Host 头有校验传错会拒绝。5.4 证书申请失败acme.json 权限或 80 端口占用Lets Encrypt 的 HTTP challenge 需要 80 端口能从公网访问。如果你宿主机上已经有 Nginx 占了 80Traefik 起不来或者 challenge 失败。解决办法是把 Nginx 停掉或者改用 DNS challenge。acme.json权限必须是 600Traefik 会检查权限不对直接拒绝写入。5.5 动态配置不生效file provider 路径写错traefik.yml里providers.file.filename写的是容器内路径/etc/traefik/dynamic.yml而 Compose 里挂载的是./data/dynamic.yml:/etc/traefik/dynamic.yml:ro。这两个路径必须对应。如果你改成了/config.yml挂载也要跟着改。改完配置后 Traefik 的watch: true会自动重载不用重启容器但日志里要看到Configuration reloaded才算成功。6. 把 Key 收口之后工具侧怎么接Traefik 这套骨架跑通之后你手头所有 AI 工具的接入方式就统一了base URL 填https://ai.example.com/v1Key 随便填一个占位符真实 Key 由 Traefik 在转发时注入。新增一个工具只需要在它的配置里改一行 base URL不用再去 TaoToken 控制台建新 Key。如果你还在用 Claude Code 这类走 Anthropic 协议的工具接入地址和模型名有单独的映射规则可以在 TaoToken 的接入文档里查对应的 endpoint 写法。核心逻辑不变一个入口一个 KeyTraefik 负责路由和注入。长期跑编码 Agent 或者多工具并行的场景建议看一下 Coding Plan 的额度策略避免多个工具同时打满限流。验证模型连通性的时候模型对话页面可以直接测不用每次都起容器。配置改完记得docker compose restart traefik然后按第 4 章的 curl 命令再跑一遍。这套东西一旦跑通后面加工具就是复制 label 改域名的事。
