01
分類每個設定
公共配置可以包括顯示名稱或公共端點。敏感設定包括憑證和簽署材料。選擇儲存和權限時，應該區別對待。瀏覽器代碼對訪客可見：嵌入前端構建的變數無論名稱如何都是公開的。
02
記錄名稱，而不是機密
保持示例配置，附帶說明和無害的佔位符。在啟動時驗證必填值，並報告缺失的變數名稱，而不打印其內容。保持開發、預覽和生產環境設定區分。以同樣的用心審查配置變更，如同審查代碼。
03
刻意輪換存取權
在更換憑證時，請先更新依賴的服務並驗證結果，再在提供者支持此流程的情況下撤銷舊憑證。對已暴露的憑證應及時撤銷。不要將整個環境檔案複製到工單或日誌中；請僅分享名稱和經過脫敏的錯誤訊息。
APP_ENV=production
PUBLIC_SITE_URL=https://example.com
API_BASE_URL=https://api.example.com