把 .env 加入忽略列表只能减少误提交，并没有解决密钥分发、权限和轮换。首先要知道每个秘密由谁生成、在哪里使用。

仓库只保存结构

示例配置可以列出变量名称和格式，但不放真实值。程序启动时应检查必需变量，并避免把秘密回显到错误日志。

限制读取范围

密钥文件只授予运行账户读取权限。容器挂载时使用只读模式，不要把整个宿主机配置目录暴露给单个服务。

设计轮换路径

轮换前确认服务是否支持新旧凭据并存。完成切换后撤销旧值，并检查日志中是否仍有旧客户端访问。