CI 里别把密钥写在脚本里，改用凭据管理

密钥一律放平台的凭据存储，不写进脚本、不提交进仓库，这是底线。

GitHub Actions 用仓库的 Secrets，Jenkins 用 Credentials 绑变量，脚本里只读环境变量。

fork 来的 PR 默认拿不到 Secrets，别指望它跑需要密钥的测试；日志不会自动打码，别把变量整个 echo 出去。

# GitHub Actions
- run: ./deploy.sh
  env:
    API_TOKEN: ${{ secrets.API_TOKEN }}

# Jenkins
withCredentials([string(credentialsId: 'api-token', variable: 'API_TOKEN')]) {
  sh './deploy.sh'
}