分類：security-devops

環境變數不是 Secret Manager：Zeabur 外洩事件後的 Secrets 架構

環境變數不是絕對禁止，但它缺少加密、版本、輪替、稽核與細粒度授權，並可能暴露於子行程、除錯資訊、容器設定、日誌或 dump。較穩健的做法是以 Secret Manager/Vault 作為 source of truth，透過 workload identity/IAM 取得短期或最小權限祕密，再於 runtime 以記憶體、檔案掛載或最後手段的 env 注入。