区分公开配置与密钥
只有计划提供给浏览器代码的值才应使用框架的公开变量机制。数据库凭据、签名密钥和私有 API 令牌必须留在服务端，并存放于托管平台受保护的环境配置中。
尽可能为非生产环境使用独立服务和凭据。这样可以降低预览环境泄露的影响，也能重置测试数据而不影响线上用户。
检查作用范围与轮换
确认变量适用于所有部署、指定环境，还是特定分支或预览。更改变量后，按托管平台要求重新创建或重启部署；正在运行的进程可能仍保留旧值。
在凭据签发服务处轮换已暴露的密钥，更新托管配置并重新部署。不要将变量值写入日志；验证其存在和格式时避免输出密钥本身。