環境變數跟寫死在程式碼差在哪？金鑰外洩最常見的那條路

新手最常犯的資安錯誤不是被駭客攻破系統，而是自己把金鑰寫進程式碼、推上網路，等於主動把鑰匙送給全世界。

一句話核心觀念

寫死在程式碼是把秘密直接打進原始碼裡，一旦程式碼曝光，秘密就跟著曝光。環境變數是把秘密存放在程式碼之外的獨立設定檔，讀取時才動態載入，程式碼本身完全不含秘密。

核心差異比較

新手災難是怎麼發生的

血淚流程通常是四步：寫完程式，把金鑰直接打在程式碼裡；把程式碼推上像 GitHub 這樣的平台；金鑰掠奪機器人幾秒內掃描到公開的金鑰特徵字串；帳單在幾分鐘內就被刷爆，而使用者往往還沒發現，錢已經被花光了。

正確做法怎麼做

正確做法有兩步：第一步在獨立的環境變數檔案中存放秘密，這份檔案絕對不上傳；第二步在程式碼中讀取環境變數，讓真正的秘密只存在於這個獨立檔案，不出現在任何一行程式碼裡。

開發者黃金守則包括秘密永遠不進入程式碼、所有秘密放進環境變數檔、把這個檔案加入版本控制的忽略清單、不同環境使用不同設定，以及定期更換金鑰。