Railway 环境变量泄露、部署全停：今天要换哪些密钥？项目怎么搬到自己的云服务器（2026-10）
直接回答
Railway 官方 2026-10-21 公告说，存客户环境变量的系统被异常访问，第三方可能读到了加密的环境变量，其中一部分已被解密；官方建议所有用户立刻轮换存在 Railway 的全部环境变量、API Key 和私有镜像仓库凭据，并检查这些服务的日志。麻烦在于调查期间全平台暂停部署，官方状态页写明在构建恢复前没法重新部署来用上新凭据。所以先吊销能直接花钱的模型 API Key 和支付相关密钥，再换数据库、OAuth、Webhook、镜像仓库；要尽快恢复服务，就把项目搬到自己的云服务器。只调 API 的项目 2核2G 到 2核4G 够用，阿里云 ECS 经济型 e 实例 2核2G 99 元/年（我们 2026-10-17 核对）。内地服务器绑域名要先 ICP 备案，管局审核最长 20 个工作日，急着上线可以先放香港地域。核对于 2026-10-22（台北时间）。
快速推荐：按你的情况选
阿里云 AI Agent 部署活动页写“轻量服务器+Token Plan组合购，68元起”，带 OpenClaw/Hermes 官方镜像（我们 2026-10-19 核对），模型额度按月买。
活动页写新用户首年 109 元，每个实名主体限 1 台，续费按官网价（我们 2026-10-19 核对）。
价格核对于 2026-10-22，活动价和库存随时变，下单前以官方页面为准。带 ↗ 的按钮是推广链接，价格不变。
本文怎么来的：事件经过只用 Railway 官方安全公告和 Railway 官方状态页，变量和数据库的行为来自 Railway 变量文档和 PostgreSQL 文档，备案时长来自腾讯云备案审核文档，全部核对于 2026-10-22 07:10（台北时间）。服务器配置和价格引用我们已有页面，核对日期分别标在旁边。事件仍在调查中，官方没公布的我们不写。
今天换的 Key，Railway 上的服务暂时用不上。
我把 Railway 状态页从第一条翻到了台北时间 10 月 22 日 06:45 那条，最要紧的一句在 06:10：因为部署暂停，在构建恢复之前，你没法重新部署服务来用上新凭据。一边让你立刻换，一边又部署不了，你只能在“继续用可能已泄露的 Key”和“服务先断着”里挑一个。我们选让它断着，然后把项目搬走。
Railway 这次出了什么事？
Railway 检测到存客户环境变量的系统有异常访问，官方调查认为第三方可能读到了加密的环境变量，其中一部分拿到了解密后的内容。
公告列出的事实就这几条：环境变量里可能有 API Key、数据库凭据和镜像仓库凭据；官方建议所有用户立刻轮换存在 Railway 的全部环境变量，包括 API Key 和私有镜像仓库凭据，并检查这些服务的日志有没有异常；调查期间所有部署暂停，不能发新版本；确认受影响的账户后，官方会单独发邮件。公告还说已经通知上游的 AI 推理服务商主动吊销相关 Key，你的模型 Key 有可能在你动手之前就已经失效了。影响多大、怎么进来的，官方还没公布，我们也不猜。
状态页还提到，Railway 自己在轮换所有存储桶（Storage Buckets）的凭据，新凭据会自动出现在控制台里；你在审计日志里看到 Railway 员工吊销存储桶凭据的记录，官方说这是预期内的。
今天要换哪些密钥？按什么顺序？
全部都要换，先换能直接花钱的。顺序是模型 API Key 和支付相关密钥、数据库、OAuth、Webhook 签名密钥、私有镜像仓库凭据，会话或 JWT 密钥放最后。
模型 API Key 排第一，因为它最好变现：拿到 Key 的人不需要进你的服务器，调用一次扣你一次钱。去每一家模型平台的控制台作废旧 Key，一个项目新建一个 Key，只开需要的模型。Railway 上还在跑的服务会因此调不通模型，认了。支付平台的 API 密钥和 Webhook 签名密钥同理，旧的签名密钥泄露后，别人可以伪造“已付款”的回调。
数据库要分两种情况。数据库在别处（比如阿里云 RDS、腾讯云数据库），直接改密码或新建账号、删掉旧账号，再检查有没有开公网访问。数据库本身就跑在 Railway 上，它的 PGPASSWORD、DATABASE_URL 就在这次泄露的变量里，改密码之后同一项目里的服务要重新部署才能拿到新值，现在做不到。这类项目最干净的做法是把数据导出来，在新服务器上用全新密码建库，下文有步骤。
OAuth client secret 在对应平台的开发者设置里重新生成；有的平台允许新旧两个并存，那就换上新的再删旧的。私有镜像仓库凭据去仓库控制台重置，阿里云 ACR、腾讯云 TCR 都有访问凭证管理，CI 里存的登录信息记得一起换。会话密钥、JWT 签名密钥一换，所有用户都要重新登录，放到服务迁完再换也行，就是别漏了这一项。
怎么查 Key 有没有被盗用？
从 10 月 21 日起，模型平台的用量和账单、数据库的连接记录、云账单和告警，挨个看一遍。
模型平台的用量页按天、按 Key 或按模型看，留意你没用过的模型和突然暴涨的输出 token。能设消费上限的平台顺手设上；阿里云百炼不能按金额封顶，只能用子业务空间限流、给 API Key 设 IP 白名单，再在费用中心设消费预警，具体见我们之前写的 API Key 泄露后怎么换 Key、设额度（2026-10-17 核对）。
数据库这边，PostgreSQL 可以查 pg_stat_activity 看当前有哪些客户端连着、来自哪个地址；想看历史登录，得事先开过 log_connections 这类连接日志，没开过的话现在打开，至少后面的能看到。云数据库产品一般有自己的登录或审计日志，以控制台为准。镜像仓库看有没有陌生的拉取或推送记录，OAuth 平台看有没有不认识的授权。
发现盗刷的费用，截图留证，找对应平台的客服。
部署停了，项目怎么搬到自己的云服务器？
先买一台和项目匹配的服务器，用新凭据重新部署一遍，验证没问题再切域名。旧变量的值不用搬，名字照抄，值全部换新的。
Railway 文档写明，变量面板的 RAW Editor 可以整段粘贴 .env 内容；但状态页 10 月 22 日 03:55（台北时间）那条还写着 API 和控制台受影响，现在不一定能顺利导出。好在你要的只是变量名和非敏感的配置项，看代码里读了哪些环境变量，或者翻自己本地的 .env.example，都能拿到。
配置按项目类型选，下面的数都来自我们已有的页面：
| 项目类型 | 建议配置 | 依据（我们的页面，核对日期） |
|---|---|---|
| 带后端或数据库的个人网站、小程序后端 | 2核2G 起步 | AI 做的网站怎么部署上线（2026-10-17） |
| 只调模型 API 的 Agent、Bot | 2核4G 够用，2核2G 能跑 | 部署 AI Agent 要什么配置（2026-10-19） |
| Dify 这类带知识库的平台 | 官方最低 2核4G，建议 4核8G | 部署 AI Agent 要什么配置（2026-10-19） |
| 只是展示型官网 | 不一定要服务器 | 见下方建站方案 |
价格按我们已有页面核对过的活动价，香港地域能不能买到同价，以下单页为准，这一点我们没核：
| 方案 | 配置 | 价格 | 入口（推广链接） | 来源（核对日期） |
|---|---|---|---|---|
| 阿里云 ECS 经济型 e 实例 | 2核2G，3M 固定带宽 | 99 元/年，续费同价 | 见右侧套餐页 | 99 元套餐页（2026-10-17） |
| 阿里云轻量 + Token Plan（OpenClaw/Hermes 镜像） | 以活动卡片为准 | “轻量服务器+Token Plan组合购，68元起” | 阿里云 AI Agent 部署活动（推广链接） | 部署活动页（2026-10-19） |
| 腾讯云轻量应用服务器（新用户） | 4核4G3M | 首年 109 元，续费按官网价 | 腾讯云采购季活动（推广链接） | 轻量特惠页（2026-10-19） |
| 阿里云万小智 AI 建站 | 展示型官网，含独立域名 | 轻量版 360 元/年起 | 阿里云万网建站（推广链接） | AI 做的网站怎么部署上线（2026-10-17） |
只是个展示型官网的话，最后一行那种建站产品更省心，没有环境变量要自己保管。
步骤如下，以 Linux 服务器、Node.js 或 Python 项目为例：
- 拉代码、装环境：服务器上 git clone 你的仓库，装好对应版本的 Node.js 或 Python，项目原来用 Dockerfile 的直接装 Docker 构建。
- 建 .env：在项目目录新建 .env，填所有新凭据，执行
chmod 600 .env只让运行应用的用户能读，确认 .gitignore 里有 .env。仓库里只留 .env.example，写变量名不写值。 - 守护进程：用 systemd 写一个服务单元，
EnvironmentFile=指向这个 .env，设成开机自启、挂了自动重启；Node.js 项目也可以用 PM2。 - 反向代理和 HTTPS：Nginx 监听 80 和 443，把请求转到应用端口；证书可以用 Let's Encrypt 的 certbot 申请，也可以用云厂商的证书服务。安全组只开 22、80、443，应用端口和数据库端口不对公网开。
- 迁数据库：Railway 上的 PostgreSQL 如果之前开过公网访问（Public Access），会有 DATABASE_PUBLIC_URL，用
pg_dump -Fc连它导出，再在新服务器或云数据库上用pg_restore导入；没开过的话，现在去开会不会受这次暂停影响，官方没说。导完核对一下表的行数，再把应用的 DATABASE_URL 指向新库。 - 切域名：提前把域名解析的 TTL 调低，先用服务器 IP 或临时子域名把功能点一遍，没问题再把 A 记录改到新 IP。观察一两天，确认流量都过来了，再停掉 Railway 上的服务。
更细的 Nginx、HTTPS 和上线检查，见 用 AI 做的网站、小程序怎么部署上线。
搬到国内服务器要备案吗？
要。服务器在中国内地、绑定域名对外提供网站，就必须先做 ICP 备案，香港和海外地域不需要。
时间是最大的坑。腾讯云备案文档写明，首次备案在成功之前网站不能做解析，管局审核不超过 20 个工作日，各省预估从几个工作日到江苏最长 30 个工作日不等（2026-10-22 核对）。域名还没备案的话，指望这周在内地服务器上恢复服务不现实。
急着恢复的，先买香港地域的服务器，不用等备案。用户主要在国内、打算长期跑的，现在就把备案递上去，批下来再搬回内地。在海外做独立站、外贸站的，本来就不用折腾内地这一套，选主机可以看 独立站用什么主机。
台北时间 07:11 我又刷了一次状态页，最新一条还停在 06:45，没有构建恢复的消息。
常见问题
没收到 Railway 的邮件，还要换密钥吗？
要。官方公告说初步分析影响可能只涉及一部分用户，但仍建议所有用户轮换存在 Railway 的全部环境变量、API Key 和私有镜像仓库凭据；受影响的账户官方会单独发邮件。核对于 2026-10-22（台北时间）。
在 Railway 里改了变量，为什么服务还在用旧值？
Railway 文档写明，增删改变量会先变成待部署的改动，部署之后才生效。现在全平台暂停部署，官方状态页也写了构建恢复前没法重新部署来用上新凭据。
Railway 这次是怎么被入侵的？
官方没有公布入侵方式和最终影响范围，调查还在进行。本文不做猜测，后续以 Railway 官方公告和状态页为准。
迁到国内服务器一定要备案吗？
服务器在中国内地、用域名对外提供网站就要先做 ICP 备案，首次备案成功之前域名不能解析过去。腾讯云文档写管局审核不超过 20 个工作日。香港和海外地域不需要 ICP 备案。核对于 2026-10-22（台北时间）。
搬过去要买多大的服务器？
按我们已有页面核对过的数据：带后端的个人网站 2核2G 起步，只调 API 的 Agent 2核4G 够用，Dify 官方最低 2核4G，加独立向量库按 4核8G 起步。价格见正文，活动价以下单页为准。
本文要点
- Railway 官方 2026-10-21 公告说，存客户环境变量的系统被异常访问，第三方可能读到了加密的环境变量，其中一部分已被解密；官方建议所有用户立刻轮换存在 Railway 的全部环境变量、API Key 和私有镜像仓库凭据，并检查这些服务的日志。
- 麻烦在于调查期间全平台暂停部署，官方状态页写明在构建恢复前没法重新部署来用上新凭据。
- 所以先吊销能直接花钱的模型 API Key 和支付相关密钥，再换数据库、OAuth、Webhook、镜像仓库；要尽快恢复服务，就把项目搬到自己的云服务器。
信息来源阿里云 OpenClaw/Hermes 部署活动页 · 腾讯云轻量特惠页 · Railway 官方安全公告 · Railway 官方状态页
最后更新 · 价格核对 2026-10-22
引用本文Railway 环境变量泄露、部署全停：今天要换哪些密钥？项目怎么搬到自己的云服务器（2026-10） — https://www.agentcomm.net/zh/railway-env-leak-migrate-cloud-server/