新手配置Linux全局环境变量时，应只设JAVA_HOME、PATH等基础路径类变量，严禁放入API_BASE_URL、DEBUG、DB_HOST等含业务逻辑或内网地址的调试配置，避免信息泄露；开发配置须限定在应用进程内，通过.env文件+启动命令注入，并用函数临时切换上下文。
新手配置Linux系统全局环境变量时，真正要防的不是“暴露端口”本身，而是把本该只在开发阶段生效的调试配置（比如DEBUG=true、API_BASE_URL=http://192.168.10.5:3000、DB_HOST=10.0.2.15）误设为全局变量，导致任意用户、服务甚至定时任务都可能读取并使用这些内网地址——这会间接造成信息泄露或服务误连。
系统级变量只放基础路径，不放业务配置
全局环境变量（如通过/etc/environment或/etc/profile.d/*.sh设置）影响所有用户和系统服务，一旦写入内网IP或调试开关，就等于全系统“公开广播”。所以：
-
只允许放工具路径类变量：如
JAVA_HOME="/usr/lib/jvm/java-17-openjdk"、PATH="/usr/local/bin:$PATH"，这类值不带业务逻辑，也不含网络位置 -
绝对禁止放入以下内容：
API_BASE_URL、DEBUG、LOG_LEVEL=debug、DB_HOST、REDIS_URL等任何与运行时行为或网络拓扑相关的变量 -
别用
/etc/environment写export语句：它不支持shell语法，只接受KEY="value"格式，且无法做条件判断或路径拼接，容易出错又难维护
开发调试配置必须限定在应用进程内
内网测试端口这类敏感信息，应只在启动应用时注入，生命周期严格绑定到该进程。推荐做法：
- 在项目根目录放
.env.development，内容如：API_BASE_URL=http://192.168.10.5:3000<br>DEBUG=true<br>LOG_LEVEL=verbose
- 启动命令用
env $(grep -v '^#' .env.development | xargs) npm start（Node.js）或python -m dotenv run -- python app.py（Python），确保变量仅当前进程可见 - 配合
.gitignore明确排除.env*文件，避免提交到代码库
用函数快速切换调试上下文，不污染shell环境
如果需要在终端里临时调用开发接口，不要export DB_HOST=...——这会让后续所有命令（包括curl、ssh、甚至ps aux）都继承该变量。改用轻量函数：
- 在
~/.bashrc中添加：dev-api() { curl -H "X-Debug:1" http://192.168.10.5:3000/api/test; } - 或封装完整调试环境：
use-dev-env() { env API_BASE_URL=http://192.168.10.5:3000 DEBUG=true "$@"; }
之后执行use-dev-env python test_client.py，变量不会残留
定期检查全局配置是否混入调试痕迹
运行以下命令快速扫描风险项：
grep -rE "(192\.168|10\.|172\.(1[6-9]|2[0-9]|3[0-1])|DEBUG|dev|staging)" /etc/profile.d/ /etc/environment 2>/dev/null-
systemctl show --property=Environment | grep -E "(API_|DB_|DEBUG)"（检查systemd服务是否意外继承了调试变量） - 发现即删，并用
source /etc/profile或重启用户会话使变更生效
