本技能用于安全地管理 PostHog 集成中的 API 密钥。PostHog 有两类密钥且安全属性不同：项目密钥（前缀 phc_）设计为可公开，可安全放入前端包，用于采集事件、评估功能开关、识别用户；个人密钥（前缀 phx_）拥有管理权限，绝不能暴露。
核心做法包括：用环境变量保存密钥并配置 .gitignore 忽略 .env 文件；通过 API 创建带作用域的个人密钥以实现最小权限，例如只读的 BI 仪表盘密钥或仅功能开关读写的服务密钥；按环境分别使用不同密钥；制定并执行轮换流程，在 Vercel 用 vercel env rm/add、在 GitHub Actions 用 gh secret set 更新密钥，再验证新密钥并删除旧密钥。
防泄露方面，可用 Git 预提交钩子扫描暂存内容中匹配 phx_[a-zA-Z0-9]{20,} 的密钥并阻止提交，或借助 GitHub 密钥扫描。个人密钥应隔离在服务端代码中，通过 API 路由代理管理操作，不传给客户端。还可查询活动日志审计密钥的使用情况。
该技能给出配置示例、轮换步骤、防泄露钩子、服务端隔离代码和安全检查清单。限制与常规错误：把个人密钥写入 git 历史需立即轮换并撤销旧密钥；管理 API 返回 401 通常是密钥类型用错；权限过宽可从审计日志发现，应改用作用域密钥；密钥出现在日志中需脱敏并轮换。技能资料未提供价格、平台支持范围等信息。