配置与密钥：区分运行参数和敏感信息容器配置决定应用如何运行，密钥则授予身份或访问权限。二者混在镜像、仓库文件、环境变量和诊断日志中，会导致秘密泄露范围扩大、轮换困难，也难以确认哪个版本正在使用。设计应先分类数据，再选择注入路径、访问权限、审计方式和轮换策略。🛡️
端口、非敏感功能开关、超时和日志级别通常属于普通运行配置，可以版本化并通过代码审查。密码、访问令牌、私钥、签名密钥和含凭据的连接字符串属于秘密，应限制读取主体并记录访问行为。某个值是否敏感取决于其能授予的能力，而不取决于它是否被命名为“密码”。
镜像应尽量不绑定某个环境的生产地址和凭据。将敏感文件复制到镜像后再删除，不会清除已写入的历史层；构建参数也可能被构建记录或诊断输出保留。私有依赖凭据应通过构建系统的临时秘密机制提供，避免进入Dockerfile层和构建日志。📦
受控密钥存储或平台提供的秘密挂载通常便于集中授权和轮换。文件形式适合应用能从指定路径读取凭据的情况，并可通过只读挂载降低意外覆盖风险。环境变量注入简单，但可能出现在进程环境、崩溃转储、诊断输出或具有足够权限的管理工具中。不能只因为变量名没有出现在日志里，就认定秘密不可见。
访问权限应按服务身份和用途缩小范围：某服务只读取自身所需的一组秘密，部署人员不应因调试便利默认拥有全部生产密钥。还需检查备份、工单、发布流水线和故障排查脚本是否会复制秘密。Base64编码和混淆不能替代加密与访问控制。🔑
普通配置适合放入版本控制，记录变更原因、适用环境和回滚版本。秘密本身不应提交到代码仓库，部署记录应保存密钥引用、版本标识和生效时间，而不记录秘密值。配置变更要能追溯到运行实例，避免只知道模板已更新，却不知道容器是否加载到新值。
可使用配置校验在启动前拒绝缺失项、格式错误或不支持的组合。错误消息要指出字段名称和校验规则，不回显实际秘密。权限不足、文件未挂载、换行格式错误和密钥编码不匹配，都是启动阶段常见失败原因。📋
轮换流程取决于应用是否支持热加载。支持热加载时，应验证文件更新会触发安全重载，且正在处理的请求不受影响；不支持时，需要安排实例滚动重启，并在新凭据生效后再撤销旧凭据。若服务端允许短暂双凭据并存，可形成过渡窗口；若不允许，应明确重启顺序和中断风险。
监控认证失败率、授权错误、密钥版本和轮换完成状态。不要仅以“秘密存储已更新”作为完成标准，因为运行进程可能仍持有旧值。应确认实例已加载新版本、关键依赖连接成功，并且旧凭据已按计划失效。🔄
容易误判：把密钥放进环境变量并不等于安全隔离。任何能检查容器环境、读取进程信息或访问挂载目录的主体，都可能接触相应秘密。⚠️
