~/tools / Prompt Redactor
Prompt Redactor — 貼進 AI 之前，先遮蔽金鑰、權杖與個人資料
在把文字貼進 AI 聊天之前，先遮蔽 API 金鑰、權杖、私密金鑰、電子郵件、IP 位址與卡號，再把原始內容還原到 AI 的回答中。內容不會離開你的瀏覽器。
遮蔽後的文字
遮蔽後的文字會顯示在這裡。
本工具找的是具有可辨識格式的文字。它無法找出用一般句子寫成的機密資訊，所以沒有找到不代表安全。
送出之前，請先讀過遮蔽後的文字。
金鑰格式已於 2026-10-23 對照廠商文件與 RFC 確認。
所有處理都在你的瀏覽器中執行。你的文字與還原對照表都不會被上傳。
提示詞往往包含比你原本想分享的更多內容：堆疊追蹤裡的連線字串、設定檔裡的金鑰、日誌行中的客戶電子郵件。本工具會找出具有可辨識格式的機密與個人資料，並把每一個換成像 [EMAIL_1] 這樣的佔位符。同一個值永遠對應同一個佔位符，所以 AI 仍能分辨誰是誰。AI 回答後，把回覆貼進還原欄位，原始內容就會被填回去。它找的是格式，而不是語意：沒有固定格式的文字，例如用句子寫成的機密計畫，是偵測不到的。送出之前，請務必檢查結果。
使用情境
- 在請 AI 除錯之前，先清理堆疊追蹤、日誌片段或設定檔
- 分享含有連線字串或權杖的程式碼片段
- 把客服對話紀錄中真實的電子郵件和 IP 位址換成佔位符
使用方法
- 貼上你的文字，或載入範例。
- 查看偵測到的項目清單，取消勾選你不想遮蔽的項目。
- 把遮蔽後的文字複製到 AI 聊天中。
- 把 AI 的回答貼進還原欄位，即可換回你的真實值。
它能找出什麼
本工具依文字的外觀進行比對。以下是它依公開記載的前綴或結構來辨識的格式。
| 類型 | 尋找的內容 | 公開記載的內容 |
|---|---|---|
| 私密金鑰 | 從 -----BEGIN … PRIVATE KEY----- 到對應 END 行的區塊 | RFC 7468 定義了 BEGIN 和 END 行，以及 PRIVATE KEY 和 ENCRYPTED PRIVATE KEY 這兩個標籤。RSA、EC 和 OPENSSH 標籤則是慣例。 |
| AWS 存取金鑰 ID | AKIA 或 ASIA 後面接 16 個大寫字母或數字 | AWS 記載了這些前綴：AKIA 用於存取金鑰，ASIA 用於臨時金鑰。它的範例長度為 20 個字元。 |
| GitHub 權杖 | ghp_、gho_、ghu_、ghs_、ghr_ 或 github_pat_ | GitHub 記載了這些前綴。長度與字元則沒有記載。 |
| Slack 權杖 | xoxb-、xoxp-、xapp- 或 xwfp- | Slack 記載了這些前綴。 |
| Stripe 金鑰 | sk_、pk_ 或 rk_ 後面接 test_ 或 live_ | Stripe 記載了這些前綴。 |
| Anthropic API 金鑰 | sk-ant-api… | Anthropic 只記載了前綴。 |
| JWT | 以點分隔的三段 base64url，第一段以 eyJ 開頭 | RFC 7519 定義了這三段。以 eyJ 開頭是常見的模式，而不是規則。 |
| Authorization 標頭 | Bearer、Basic 或 Token 後面接憑證 | Bearer 由 RFC 6750 定義，Basic 由 RFC 7617 定義。 |
| URL 中的密碼 | scheme://user:password@host | RFC 3986 指出 user:password 這種形式已不建議使用。 |
看起來像機密的格式
有些格式沒有公開的外觀規則。OpenAI 金鑰、Google API 金鑰，以及把值指派給 password、secret 或 api_key 等名稱的情況，都是靠推測來比對的，所以可能漏掉金鑰，也可能遮蔽了無害的內容。本工具把它們放在獨立的群組中，方便你關閉。
卡號必須有 13 到 19 位數字，以主要發卡組織的開頭數字起頭，並通過 Luhn 檢查碼。檢查開頭數字這一步，可以避免把 13 位數的時間戳記當成卡號。Stripe 公開記載的測試卡號 4242 4242 4242 4242 是會被偵測到的。
為什麼佔位符要保留名稱
同一個值永遠對應同一個佔位符，而每個不同的值各有自己的編號：[EMAIL_1]、[EMAIL_2]。AI 因此仍能推論誰是誰，例如 [IP_1] 無法連到 [IP_2]，而不必看到真實的位址。
當你把 AI 的回覆貼進還原欄位時，它所保留的每個佔位符都會被換回原始值。如果 AI 改寫或丟掉了某個佔位符，那一個就無法還原。
它找不到的東西
- 用句子寫出的姓名、地址和電話號碼。
- 內部主機名稱、客戶 ID、專案代號，以及其他只有依情境才算機密的字詞。
- 它不認識的格式的金鑰。
- 已經貼到別處的機密。現在才遮蔽，並不能把它收回來。
送出之前，請先讀過遮蔽後的文字。沒有找到，並不代表安全。
出處（確認於 2026-10-23）: RFC 7468: Textual Encodings of PKIX, PKCS, and CMS Structures / RFC 7519: JSON Web Token (JWT) / RFC 6750: The OAuth 2.0 Bearer Token Usage / RFC 7617: The 'Basic' HTTP Authentication Scheme / RFC 3986: Uniform Resource Identifier (URI): Generic Syntax / AWS IAM: Understanding unique ID prefixes / GitHub Docs: About authentication to GitHub / Slack: Tokens / Stripe: API keys / Stripe: Testing
FAQ
它能偵測哪些內容？
私密金鑰區塊、JWT，以及廠商公開記載前綴的權杖（AWS 存取金鑰 ID、GitHub、Slack 與 Stripe 的金鑰、Anthropic 金鑰）；Authorization 標頭、URL 中的密碼，以及指派給 password 或 api_key 等名稱的值；還有個人資料：電子郵件地址、IPv4 位址，以及通過 Luhn 檢查的卡號。
為什麼有些偵測項目叫做「看起來像機密的格式」？
廠商只公開了部分金鑰的前綴，卻沒有公開其長度或確切字元，而有些格式（例如 OpenAI 金鑰）完全沒有公開記載。這些檢查是依外觀猜測的，所以可能漏掉金鑰，也可能遮蔽了無害的內容。如果造成困擾，可以取消勾選該類別。
它能保證不留下任何敏感內容嗎？
不能。它無法辨識沒有固定格式的機密、用句子寫出的姓名，或它不認識的格式的金鑰。送出之前，請先讀過遮蔽後的文字。
還原是怎麼運作的？
本工具會保存一張佔位符與其所取代的值的對照表，只存在這個頁面的記憶體中。當你貼上 AI 的回覆時，每個已知的佔位符都會被換回原值。如果你重新載入頁面，這張表就會消失，所以作業期間請保持頁面開啟。
為什麼我想保留的一個數字被換成了 [CARD_1]？
卡號偵測會尋找以主要發卡組織開頭、通過 Luhn 檢查的 13 到 19 位數字，所以不相干的數字也可能碰巧符合。取消勾選「卡號」即可關閉。
我的文字會傳送到伺服器嗎？
不會。偵測與還原都在你的瀏覽器中執行。