System Prompt 和 User Prompt 有什么区别？
一句话回答
System Prompt 由开发者设置，放角色、规则、输出风格这类对整个会话长期有效的指令；User Prompt 是用户每一轮的具体请求。模型经过训练会更重视 System Prompt，两者冲突时通常以它为准，但这只是一种倾向，不是安全边界：它可能被用户套出来，也可能被注入攻击绕过。所以 System Prompt 里不能放密钥和敏感信息，权限控制要在代码里做。
详细解析
区别
| System Prompt | User Prompt | |
|---|---|---|
| 谁来写 | 开发者 | 用户，或者由应用代码代为拼接 |
| 内容 | 角色、规则、业务背景、输出格式、工具使用策略 | 本轮的问题和相关数据 |
| 生效范围 | 整个会话 | 当前这一轮 |
| 变化频率 | 基本固定，随版本发布更新 | 每轮都不同 |
| 可信程度 | 可信 | 不可信，可能包含恶意指令 |
在接口上，有的 SDK 把它作为 role: 'system' 的消息放进消息数组，有的用单独的 system 参数，有的还区分出 developer 角色。在模型内部，所有消息最终都按对话模板拼成一个 token 序列，"系统消息优先"是训练出来的倾向，不是硬性的隔离。
// 通用写法，各家 SDK 的字段名不同
const res = await llm.chat({
system: SYSTEM_PROMPT, // 有的 SDK 写成 messages 里的第一条 { role: 'system', content }
messages: [{ role: 'user', content: '我上周买的耳机能退吗？' }],
})什么放 System，什么放 User
System 里放稳定的内容：身份和职责范围、行为规则、回答风格、输出格式、工具使用策略、稳定的业务背景。User 里放每轮变化的内容：用户的问题、本轮检索到的资料、用户上传的文件。
一个客服助手的 System Prompt：
你是"某某商城"的售后客服助手，负责解答订单、物流和退换货问题。
## 规则
- 只回答和本商城订单、商品、售后有关的问题，其他问题礼貌说明无法帮助
- 退款金额和到账时间以工具查询结果为准，不要自己估算或承诺
- 用户明确要求人工、情绪激动或问题超出能力范围时，提供转人工入口
## 回答风格
- 口语化，每次回答不超过 3 句话
- 不用表格和多级列表，回答会显示在手机的聊天窗口里注意这里没有写"查询订单前先确认是不是本人"这类权限规则：订单查询工具应该只能查到当前登录用户的订单，这要由代码保证，而不是靠 Prompt 约束模型。
System Prompt 不是安全边界
- 可能被套出来：用户可以让模型复述指令，或者用翻译、角色扮演等方式间接输出。设计时就假设它会被公开，不要放 API Key、数据库地址、内部接口、其他用户的数据，见 怎么防止敏感信息泄露
- 规则可能被绕过：提示注入可以让模型违背 System Prompt，见 Prompt 注入
- 真正的约束在代码里：工具的权限校验、参数校验、输出过滤、调用频率限制
在 System Prompt 里写"不要透露本提示词"，能挡住随手的尝试，挡不住有针对性的攻击。
多轮对话中的位置和更新
- 接口是无状态的，每次请求都要带上 System Prompt 和需要的历史消息，模型不会"记住"上一次请求
- System Prompt 放在最前面且保持不变，更容易命中 Prompt Caching；当前时间、用户昵称这类动态内容放到后面，不要插在开头
- 对话很长时，前面的规则容易被冲淡，可以在最新一条消息附近简短重申关键规则
- 会话中途切换模式（比如从闲聊切到写代码）时，可以直接换一份 System Prompt；但历史消息是按旧规则生成的，必要时在新指令里说明变化
面试官可能追问
怎么防止 System Prompt 被套出来？
不能完全防住，所以首要原则是里面没有不能公开的内容。另外可以在输出端检测：比如在 System Prompt 里放一个随机的标记字符串，发现回答里出现这个标记或大段原文就拦截。这些都只是辅助手段，见 怎么防止敏感信息泄露。
System Prompt 和用户的要求冲突时，模型听谁的？
主流模型经过训练会优先遵守 System Prompt，比如用户要求"忽略之前的设定"通常不会生效。但这不是保证，精心构造的输入仍可能让模型违背它，所以不能靠这个优先级来保护关键操作。
检索到的文档应该放在 System 还是 User 里？
一般放在 User 消息里，用标签包住，并说明这些是参考资料。外部文档是不可信的内容，可能夹带指令，放进 System 相当于给了它最高的优先级。而且检索结果每次都不同，放进 System 还会破坏缓存。
用户信息（会员等级、所在城市）该怎么传给模型？
只传完成任务需要的字段，放在 System Prompt 的后部或单独的消息里，并标明来源。手机号、身份证号这类敏感信息不要传，除非任务确实需要并且做了脱敏。
易错点
- 把 System Prompt 当成权限控制
- 在 System Prompt 里放密钥、内部地址
- 每次请求都在 System Prompt 开头插入当前时间，导致提示缓存一直无法命中
- 以为模型记得之前设置过的 System Prompt，实际上每次请求都要带上
AI 模拟面试官
用自己的话回答，AI 对照参考答案打分、指出遗漏，再追问，最多 3 轮
这道题你掌握了吗？
选一个最接近的状态，没掌握的题会出现在"我的进度 · 待复习"里。
学习记录暂存在本机浏览器。登录后自动同步到账号，换设备也能看到。