① 为什么API Key必须放在"后端"，不能放"前端"
前端 = 你电脑/手机浏览器里跑的那部分代码。任何人只要打开你的网页，浏览器都会把这部分代码完整下载下来——哪怕你不给源码，用浏览器自带的"开发者工具"（按F12）也能看到网页实际发出的每一个网络请求，包括请求里带的密码/密钥。前端里的任何东西，本质上都是"发给了对方一份，对方就能看"，藏不住。
后端 = 你自己电脑/服务器上单独跑着的一个程序，别人的浏览器永远碰不到它内部的代码和变量。 用户的浏览器只能通过"发一个请求过去，等它回一个结果"这种方式跟后端打交道，看不到后端内部到底存了什么密钥、怎么处理的。
类比
前端就像"贴在你店门口的菜单"——任何路人都能看、能拍照、能复印。后端就像"厨房"——顾客点菜（发请求），厨师在厨房里做（后端处理），顾客拿到成品（返回结果），但顾客进不了厨房、看不到你用了什么秘方（API Key）。
常见的错误做法
很多人第一版功能会图省事，把API Key直接写在前端代码里"能跑就行"。问题是：任何拿到这个网页/这份代码的人都能抄走你的Key去用，你的钱被别人花了都不知道。正确做法是把调用第三方API的这一步挪到后端（一个单独运行的服务器程序），前端只负责"发请求给后端、显示后端返回的结果"，Key本身前端一步都摸不到。
② .env 文件到底是什么，具体怎么配置
.env是一个专门用来存"密钥/密码这类不能公开的配置"的文件，几乎所有正规项目都用这种文件存密钥——规矩就是：这个文件永远不会被上传到GitHub这类公开的地方，只留在你自己电脑/服务器上。
具体步骤（以后遇到类似情况都是这个流程）
- 找到项目里的
.env.example文件（这是"示例/模板"，本身不含真密钥，可以放心公开） - 复制一份，改名成
.env（注意：文件名就是.env，前面没有别的字，只有一个点+env） - 打开这个新的
.env文件，把示例里的占位符（比如your-api-key-here）换成你真实的密钥 - 保存，不要把这个文件分享给别人、不要传到网上
⚠️ Windows 的一个常见坑
如果你用Windows"新建文件"再重命名，直接打".env"回车，Windows有时会自动在后面加.txt变成.env.txt（无效）。避开方法：
- 用 VS Code 这类代码编辑器新建文件，直接输入
.env保存，不会有这个问题（推荐） - 或者用记事本"另存为"时，文件名那一栏整个打成
".env"（带上英文双引号），保存类型选"所有文件"，这样Windows就不会偷偷加后缀
为什么很多AI助手/自动化工具"不能"直接帮你把密钥写进 .env：不少开发环境会专门配一条安全规则，禁止自动化工具用"写文件"这个动作碰任何 .env/.pem/.key 结尾的文件——这是为了防止自动化流程不小心把密钥写错地方、发到不该发的地方。如果你也在用类似的自动化开发工具，遇到这种拦截是正常的、是保护性设计，这一步手动做即可。
③ node_modules 文件夹里那么多文件是什么
打开一个项目文件夹，如果看到一个叫 node_modules 的文件夹，打开一看里面几百上千个文件/文件夹——这些不是你的代码，也不需要你看懂里面任何一个文件。
它是什么：这个项目用到的所有"别人写好的现成工具包"，被自动下载安装在这里。比如一个后端项目可能用到"Express"（帮你处理网络请求的工具包）、"cors"（处理跨域权限的工具包）、"dotenv"（读取.env文件的工具包）——每一个工具包自己可能又依赖别的工具包，层层展开，所以node_modules文件夹经常有成千上万个文件，是完全正常的现象。
你需要记住的就3件事
- 不需要打开看，也看不懂，全是别人写的工具代码
- 不需要手动复制/备份——这个文件夹可以随时靠一条命令（
npm install）重新生成，所以一般项目会把它排除在版本管理之外，不需要跟着项目一起分享/上传 - 占空间大是正常的——几十MB到几百MB都可能，删了也不影响你的实际代码，需要用的时候重新
npm install就会自动装回来
④ 网址里那一长串 ?xxx=yyy&zzz=www 是什么
以一个真实场景为例——某个网站付款完成后，把用户重定向到这样一个网址：
http://yoursite.com/thank-you?paid=1&pid=item-3&session_id={CHECKOUT_SESSION_ID}
把网址拆开看，?后面的部分就是"随身携带的小纸条"，把这个网址想象成寄快递：http://yoursite.com/thank-you是收件地址，?后面每一段名字=值就是附在包裹上的一张小纸条，网站收到后会读这些纸条决定怎么处理。
paid=1：一张写着"这是付款完成页请求"的纸条。网站代码里写死了"看到paid=1就显示感谢页"——这个名字和值是写代码的人自己定的，不是行业标准pid=item-3：另一张纸条，写着"这是商品3"。这类值通常是代码里商品自己固定的编号（写代码时定好的，不会变），照抄教程/系统给你的网址即可，不需要自己去找这个值该填什么session_id={CHECKOUT_SESSION_ID}：{CHECKOUT_SESSION_ID}就是一个"占位符/变量"。类比成一张预先印好的表格，上面印着"姓名：______"这样一个空格——你（网站开发者）只负责把这个空格模板准备好，真正往上面"写字"的是第三方服务（比如支付服务商）：每次真的发生一次交易，对方会把这次交易一个独一无二的编号自动替换进这个花括号的位置，再把整个网址发给用户的浏览器
⑤ 术语表
- 前端（Frontend）
- 运行在用户浏览器/设备里的代码，用户能看到、能查看源码。
- 后端（Backend）
- 运行在你自己服务器上的代码，用户看不到内部逻辑，只能通过请求-响应方式交互。
- .env 文件
- 专门存放密钥/密码等敏感配置的文件，规矩是永远不上传到公开代码仓库。
- API Key
- 调用第三方服务的凭证，相当于一把"钥匙"，泄露后别人能冒用你的额度/身份。
- node_modules
- Node.js项目自动生成的依赖工具包文件夹，不需要手动管理。
- URL 参数（Query String）
- 网址里
?后面的名字=值部分，用来给网站传递额外信息。