Secret 变量与普通环境变量的区别

在云端算力与容器化部署里，配置注入几乎是标配，但并非所有键值对都应同等对待。普通环境变量与 Secret 变量的分野，不在于进程能否读到它们，而在于存储可见性、权限边界以及执行生命周期上的安全设计。

普通环境变量以明文保存「变量名 / 变量值」，适合控制运行参数、服务地址等非敏感信息。创建或编辑容器时可直接添加多组配置，运行时原样注入。其价值在于灵活与可观测：协作成员通常能完整查看与修改，便于联调与排障，也适合需要频繁对照的公开配置。

Secret 变量面向 API Token、密钥等敏感凭证。勾选 Secret 后，平台在界面仅以脱敏形式展示（保留首尾两字符，中间用占位符替代）；编辑权限之外的成员看不到真实值，接口侧亦可能返回空值。容器运行时仍注入完整真实值，业务不受影响。这是一种「对人隐藏、对进程透明」的模型：既降低界面与协作链路中的泄露面，又不改变应用读取环境的方式。

生命周期差异同样关键。同一工作空间内重启执行，已保存的 Secret 真实值会自动沿用；克隆或新建执行则不携带原 Secret，必须重新配置。需要保留凭证时应优先重启而非克隆，避免新实例因缺失密钥而失败。编辑已有 Secret 时，界面往往只显示脱敏占位，更换数值需通过显式替换操作重新输入，避免在无意中覆盖或误传明文。

选型应遵循最小权限：仅在确有需要的容器注入 Secret，避免在公共或测试环境扩散凭证；编辑权应限于可信成员；关键 Token 宜定期轮换并同步更新对应 Secret，并用操作日志记录添加、替换与删除，便于事后审计。将敏感与非敏感配置分开管理，本质是在可读性与保密性之间划清边界——普通环境变量服务协作与可观测，Secret 变量服务凭证隔离与可控审计，二者配合才能在配置统一与安全部署之间取得平衡。