对比

Tokenhush 与其他做法对比

Tokenhush 是一个本地、仅回环的 HTTP 网关：在机密与 PII 到达模型之前，把它们替换成会话级占位符，并在响应回来时还原，覆盖 14 个可指向自定义 base URL 的客户端。本页把它与另外三种做法并列对比：依赖 .gitignore 与厂商开关、关掉发送过多的功能、以及带根证书的本机 MITM 代理。每一行说明它给你什么、不给你什么，以及适用边界。

开始使用给仓库点 Star

本页按做法类别展开：除 Tokenhush 外只点名 mitmproxy 这个公开代理示例，且不引用任何价格。

四种做法并排对照

每一行对应公开核心 README 中的一种做法，并列明它给你什么、不给你什么，以及适用边界。

四种做法取自公开核心当前版本的 README；mitmproxy 作为本机代理这一类的公开示例被点名。
做法	给你什么	不给你什么	适用边界	运维足迹
依赖 .gitignore 与厂商开关	不需要额外软件：把密钥挡在你记得排除的文件之外，并按提供商关闭训练或日志功能。	你得把每个模式都配对并一直维持。会读取仓库的工具、忘了排除的 .env、或粘贴进提示词的密钥照样会离开机器，而请求一旦发出就无法撤回。	请求被组织出来之前的文件级卫生：这种做法不会在发送时运行任何检查。	不安装、不常驻进程。影响范围仅限你记得排除的文件，发送时没有检查点。
关掉发送过多的功能	离开机器的字节更少，有时少很多。	能力被削弱，设置可能漂移或被更新重置，也完全挡不住仍然进入请求的密钥。	能够放弃部分能力换取更少字节、也不依赖该设置保持不变的负载。	按提供商改一处设置，无需改代码。影响范围是你放弃的能力，且工具更新可能重置它。
带根证书的本机 MITM 代理	机器上任何客户端的流量都能被检查与改写，包括没有 base URL 设置的客户端；mitmproxy 是这一类做法中公开、有完整文档的示例。	它要终止 TLS，于是你得安装根证书，并在机器上永久信任一个第三方。对一个脱敏功能来说，这是信任面的巨大变化。	不理会 base URL 的客户端——前提是你能接受一张覆盖全机器、终止 TLS 的根证书。	装一个代理 + 在机器上信任一张根证书。影响范围是主机上每个客户端；回退需要移除那张证书。
Tokenhush	一个由你的工具指向的本机回环 HTTP 网关：它在请求体里把密钥替换为可逆占位符，并在响应里还原。不终止 TLS、不装根证书，映射只保留在内存中。	只覆盖你能指向 base URL 的工具（随附 14 个工具的现成片段）；不脱敏响应路径、不识别编码后的密钥，也不覆盖无视 base URL 的客户端。	接受自定义 base URL 的工具——只要请求路径上有一个本地检查点就够了，不需要信任任何覆盖全机器的东西。	把一个工具指向 `http://127.0.0.1:8787`（随附 14 个片段）。只绑定 `127.0.0.1`，不装根证书，映射只在内存、重启即清。

阅读完整边界清单

检测器偏向精度，因此未被标记的值仍会外发。公开口径是高置信拦截加全程可审计，而不是「什么都不会外泄」的保证。

脱敏：本机 MITM 代理与回环网关对比

两种做法都能在请求发送给 LLM 之前完成脱敏；区别在于为此需要信任什么，以及这份信任随时间要付出什么。

带根证书的本机 MITM 代理。 mitmproxy 是这一类做法中公开、有完整文档的示例。它要终止 TLS，于是你得安装根证书，并让一个受信任方在全机器范围生效：机器上任何客户端的流量——包括没有 base URL 设置的客户端——都能以明文被检查与改写。证书需要安装一次、在系统更新后保持受信任，并在过期或密钥更换时轮换；这些流量的明文会出现在代理进程里，而且代理必须保持运行，这一切才成立。

回环网关。 Tokenhush 不终止 TLS，也不安装任何证书：工具访问 127.0.0.1:8787，网关把请求转发到配置好的提供商端点。没有需要安装或轮换的证书，也没有覆盖全机器的明文面——改写发生在一个仅绑定回环的进程里，密钥与占位符的映射只保留在内存中，限定于本次会话。代价是覆盖范围：无视可配置 base URL 的客户端不在网关路径上，响应路径也不做脱敏——两点都写在安全模型里。脱敏视角的完整走查见回环网关如何在机密到达模型之前完成脱敏。

Tokenhush 明确不覆盖的范围

三种常见的 AI 使用界面按设计就在网关路径之外：它们没有可配置的 base URL，网关也就没有可以落脚的位置。

Cursor agent 流量
Cursor 的 agent 流量不理会可配置的 base URL，因此不在网关的路径上。
ChatGPT 与 Claude 桌面应用
这些桌面应用同样没有 base URL 设置，它们的请求不会经过本机回环网关。
浏览器 Web UI
浏览器里的对话界面直接访问各自的提供商端点，没有可重定向的 base URL。

要覆盖这几种场景，需要带根证书的系统级拦截，而开源核心并未实现。网关覆盖的范围恰好是你能指向 base URL 的那些工具，随附 14 个工具的现成片段；完整的边界清单与残余风险记录在安全模型里。

这些内容写在哪里

对照表、覆盖边界与残余风险都来自公开文档。

开源

把一个工具指向网关

任何支持自定义 base URL 的客户端都可以改道走本机回环网关。无法指向 base URL 的客户端，既不在这份对照里，也不在网关的路径上。