配置分环境管理，别把密钥提交进仓库

密钥进仓库等于泄露，事后删文件也没用，历史里还在。做法：配置按环境拆开，本地用 .env 并加进 .gitignore，仓库只放 .env.example，生产走配置中心或平台 secrets 注入。如果已经提交过，第一步是在服务端把那把密钥轮换作废，再用 git filter-repo 清理历史、强推并通知所有人重新克隆——顺序不能反。

.env
.env.local
*.pem

# 清理历史（先轮换密钥再执行）
git filter-repo --path .env --invert-paths