密钥管理的最低标准：不进代码、不进提示词、可轮换

核心判断

环境变量只是传递方式，真正安全还需要专用密钥存储、最小权限和审计。

落地步骤

集中存储；运行时注入；限制 Scope；自动轮换；扫描仓库与日志。

完成前检查

确认负责人、数据与权限边界、失败恢复、可观测信号和回滚条件；用一次真实样例完成端到端验证，再扩大范围。

一手资料

https://owasp.org/www-project-secrets-management-cheat-sheet/