# AI 代充站一键开好后，谁来守住充值和账单

New API 的公开安全公告记录了未付款却能增加额度的风险。网站搭好之后，支付安全和持续维护才刚开始。

[网页原文](https://nosecrets.app/zh-Hans/stories/ai-reseller-site-payment-security)

发布署名: [No Secrets 资料整理](https://nosecrets.app/zh-Hans/about#methodology)
收录日期: 2026-10-21
话题: 科技与工具

## 范围与背景

适用范围: New API 公告 GHSA-xff3-5c9p-2mr4；自建 AI API 中转与额度销售站
时间背景: 公告发布于 2026-04-22；安全政策核对于 2026-10-21
资料核对: 2026-10-21

这是已披露的软件漏洞，不证明某家店实际被黑、偷钱或跑路。这里的修复版本只对应该公告，不表示旧版本在今天仍然安全。

## 余额增加，不一定意味着钱已到账

维护者 4 月的公告将 v0.12.10 之前的版本列为受影响版本，将 v0.12.10 列为修复版本。公告描述了支付回调校验缺陷：未付款也可能获得额度，而上游模型调用成本由运营者承担。

[1: QuantumNous / new-api](https://github.com/QuantumNous/new-api/security/advisories/GHSA-xff3-5c9p-2mr4)

## 买了搭建服务，维护责任仍要说清

项目安全政策只支持最新版本，并提供私下报告漏洞的渠道。由此得到的运营建议是：销售预付余额前，先约定由谁跟进更新、核对支付与余额、处理异常。这是根据公开风险提出的检查项，不是对某个卖家的指控。

[2: QuantumNous / new-api](https://github.com/QuantumNous/new-api/security/policy) · [1: QuantumNous / new-api](https://github.com/QuantumNous/new-api/security/advisories/GHSA-xff3-5c9p-2mr4)

## 来源

1. [GHSA-xff3-5c9p-2mr4: Stripe Webhook Signature Bypass via Empty Secret Enables Unlimited Quota Fraud](https://github.com/QuantumNous/new-api/security/advisories/GHSA-xff3-5c9p-2mr4) — QuantumNous / new-api. 2026-04-22. 维护者公开的漏洞范围、影响及当时的修复版本。

2. [Security Policy](https://github.com/QuantumNous/new-api/security/policy) — QuantumNous / new-api. Living policy · checked 2026-10-21. 项目的版本支持和私下报告漏洞政策。

## 披露

No Secrets 使用 AI 辅助检索、撰写和翻译，依据下列公开资料整理。本文是资料摘要，不是亲历报道或经过独立审计的调查；文中未使用联盟推广链接。

资料核对日期不是事件发生日期。摘要与原始文件不一致时，以原始文件为准。