执行摘要

• 一句话：补充 --api-key 认证边界警告，防止暴露未受保护端点
• 推荐动作：值得快速阅读，但无技术深度。对于安全敏感部署的使用者，建议关注该警告并部署反向代理等加固措施。

功能与动机

PR body 指出 --api-key 的边界目前只在 docs/usage/security.md 中记录，用户（以及经常因抓取安全文档而受限的 LLM 助手）容易错过，导致暴露可被攻击的推理面。PR 源于安全研究员的建议，希望在用户实际会看到的地方（ --help 和服务器文档）也出现警告。

实现拆解

1. 修改 vllm/entrypoints/openai/cli_args.py 中 FrontendArgs.api_key 字段的 docstring，增加 Warning 段落，明确认证边界、指出 /invocations 不受保护，并链接到安全文档的 "API Key Authentication Limitations" 小节。该 docstring 会渲染到 vllm serve --help 的 --api-key 帮助文本中。
2. 在 docs/serving/online_serving/openai_compatible_server.md 开头添加 !!! warning admonition，强调 --api-key 不保护所有端点，并给出完整列表链接和加固建议（如反向代理）。
3. 无测试和配置变更；已通过 pre-commit 检查（ruff、markdownlint 等）。

关键文件：

• vllm/entrypoints/openai/cli_args.py（模块 入口参数；类别 source；类型 documentation）: 修改 api_key 字段的 docstring，增加认证边界警告和链接，是帮助文本的源头。
• docs/serving/online_serving/openai_compatible_server.md（模块 服务文档；类别 docs；类型 documentation）: 在服务器文档开头添加警告 admonition，明确 --api-key 不保护所有端点，是用户查阅文档的主要入口。

关键符号：未识别

关键源码片段

vllm/entrypoints/openai/cli_args.py

修改 api_key 字段的 docstring，增加认证边界警告和链接，是帮助文本的源头。

class FrontendArgs(BaseFrontendArgs):
    # ... 其他字段 ...
​
    api_key: list[str] | None = None
    # 注意：docstring 会渲染到 `vllm serve --help` 的 --api-key 帮助文本中
    """If provided, the server will require one of these keys to be presented in
    the header.
​
    Warning: this only authenticates endpoints under the `/v1`, `/v2`, and
    `/inference` path prefixes. Other endpoints on the same server, including
    `/invocations` (which exposes the same inference capabilities as `/v1`),
    remain unauthenticated. Do not rely on `--api-key` alone to secure vLLM;
    see
    https://docs.vllm.ai/en/latest/usage/security.html#api-key-authentication-limitations
    for what it does and does not protect."""

评论区精华

该 PR 没有实质性技术讨论：claude[bot] 只发送了自动审查提示，DarkLight1337 直接批准。唯一评论是 mergify[bot] 的文档预览链接。合并由 vllm-bot 完成。

• API key 认证边界文档化 (documentation): 合入，文档变更无需进一步修改。

风险与影响

• 风险：风险很低。主要风险是帮助文本和文档中的信息准确性，若链接失效或描述不准确可能误导用户。另外，docstring 中引用的 URL 是 hardcoded 的 latest 版本，如果文档结构调整可能导致死链。但当前无此问题。
• 影响：影响所有通过 vllm serve --help 查看参数说明的用户，以及阅读 OpenAI 兼容服务器文档的用户。有助于减少因误解 --api-key 保护范围而暴露推理端点的安全风险。无运行时影响。
• 风险标记：安全边界提示不完整, 文档链接可能失效

关联脉络

• 暂无明显关联 PR