环境变量与 .env：配置和代码为什么要分开

端口、数据库地址和密钥会随环境变化，也不应出现在源码中。环境变量让同一份代码能够在不同环境安全运行。

你会学到什么

• 识别该放入环境变量的配置。

• 建立 .env 与 .env.example。

• 理解客户端变量的暴露边界。

动手步骤

• 把本地密钥写进被忽略的 .env.local。

• 提交只包含键名的 .env.example。

• 启动时校验必需变量。

• 在部署平台分别配置预览和生产变量。

最小示例

PORT=3000
DATABASE_URL=postgres://...
API_KEY=replace-me

容易踩坑的地方

• 提交过的密钥即使删除文件也应轮换。

• 前端构建变量常会暴露给浏览器。

• 不要将真实密钥写进示例文件。

完成前检查

• .env 已在 .gitignore。

• .env.example 完整但无机密。

• 日志不输出连接串和 Token。

延伸阅读

• The Twelve-Factor App：Config：https://12factor.net/config

• GitHub Docs：Secret scanning：https://docs.github.com/en/code-security/secret-scanning/working-with-secret-scanning-and-push-protection