区分公开配置与机密
公开 API 地址或功能开关可能适合放在浏览器代码中，但密码、私有令牌和签名密钥不适合。访客可以检查发送到浏览器的 JavaScript。
请按照托管平台文档使用环境配置保存服务器端机密，并区分开发、预览和生产环境的值。不要把真实凭证提交到代码库、构建日志或示例文件中。
谨慎轮换并验证
机密泄露或团队成员权限变化时，应在凭证签发服务处更换密钥，并更新托管配置。应用新值可能需要重新部署或重启进程；请遵循平台的实际行为。
更新后检查应用，但不要在日志或页面中打印机密。确认相关集成仍可用、删除过期值，并定期审查部署配置的访问权限。