把 API key 塞进环境变量，曾经是开发者的肌肉记忆。现在这块肌肉越来越像安全债。
Anthropic 在 2026 年 6 月 17 日宣布 Claude Platform 的 Workload Identity Federation 正式可用。它兼容 OIDC 身份提供方，覆盖 Claude API endpoint、SDK 和 Claude Code；配套还有 service accounts、guided setup 和 Admin API。Releasebot 的更新摘要也把重点压到了同一个点：开发者不再需要在工作负载里长期持有静态密钥。
这条新闻适合放进 news，而不是安全角落。原因是 Agent 时代的密钥问题会比传统后端更麻烦：代理会跑命令、读文件、调工具、跨服务工作，任何一枚长期密钥都可能被 prompt injection、日志、误提交放大成事故。
WIF 的价值不是“更先进的登录方式”，而是把身份从一串秘密变成一个可轮转、可审计、可撤销的关系。企业做 Agent 平台，迟早要过这一关。
边界也很明确：WIF 解决认证，不替你设计授权。一个工作负载拿到 token 之后能做什么，仍然得靠最小权限、环境隔离和审计策略兜住。
我会把它当成 Claude Platform 企业落地的基础开关。还在用长期 API key 跑生产 Agent 的团队，应该把迁移排进本季度。
主要来源：