加固Web应用环境变量需贯彻“不进、不存、不露、不传”原则，覆盖开发、构建、部署、运行全链路：严控加载范围与来源，阻断明文存储与误提交，过滤输入输出，强化运行时隔离与监控。
加固 Web 应用环境变量，核心目标是让敏感信息“不进、不存、不露、不传”——即不在运行期被注入、不以明文形式落盘、不在构建产物中暴露、不在响应或日志中泄露。这不是配置一次就能高枕无忧的事，而是一套贯穿开发、构建、部署、运行全链路的防护习惯。
严格限定加载范围与来源
环境变量不是“越多越好”，而是“越少越安全”。必须明确区分哪些变量真正需要在前端或服务端运行时使用：
- 前端代码（如 React/Vue）中只暴露必需字段（如 APP_ENV、API_BASE_URL），且通过
dotenv-webpack的variables显式声明，禁用systemvars: true防止意外继承系统级密钥 - 后端服务（如 Go/Python）使用
envconfig或os.Getenv时，对敏感字段（如 DB_PASSWORD、JWT_SECRET）强制添加required:"true"标签，缺失即启动失败，避免降级为默认空值导致逻辑绕过 - 禁止在 CI/CD 流水线中通过
export VAR=value注入敏感值；改用平台提供的密钥管理服务（如 GitHub Secrets、GitLab CI Variables 加密模式、华为云 KMS）注入，确保变量生命周期可控
阻断明文存储与意外提交
.env 文件是风险高发区，它不该出现在任何可执行路径或版本库中：
- 所有
.env*文件（包括.env.local、.env.production）必须加入.gitignore，且项目根目录下仅保留.env.example—— 它只含键名与注释（如# DATABASE_URL=postgresql://...），不含任何真实值 - 本地开发时，将
.env放在项目外目录（如~/secrets/myapp.env），再通过构建脚本软链接或路径参数加载，降低误操作风险 - 若使用 Docker，禁止
COPY .env ./；改用--env-file在docker run时注入，或通过docker-compose.yml的env_file字段引用，并确保该文件不在镜像层中固化
运行期输入与输出双过滤
环境变量本身安全，不代表它参与的流程就安全。攻击常借由变量拼接、模板渲染、日志打印等环节注入：
- 禁止将环境变量直接拼入 SQL 查询、Shell 命令或 HTML 模板。例如 Go 中不要写
fmt.Sprintf("SELECT * FROM users WHERE token = '%s'", os.Getenv("API_KEY"))；应转为参数化查询或结构体绑定 - 日志系统默认屏蔽所有含
KEY、PASS、SECRET、TOKEN等关键词的字段。可借助结构化日志库（如 Zap 的zap.String("api_key", redact(apiKey))）做自动脱敏 - HTTP 响应头、错误页面、Swagger 文档等对外输出内容，需检查是否意外回显了环境变量值（如调试模式开启时返回完整配置对象），生产环境必须关闭详细错误页
强化运行时隔离与监控
即使配置到位，也要假设某处可能失守，因此需增加纵深防御：
- Web 服务器（如 Nginx/Apache）配置禁止访问
.env、.git、.log等敏感路径，规则示例：location ~ /\.(env|git|log|yml|yaml)$ { return 404; } - 启用 WAF 的“防敏感信息泄露”规则集，自动识别并拦截响应体中疑似密钥、Token、手机号等模式的数据外泄（如正则匹配
[a-zA-Z0-9_]{32,}+ “key”/“token”上下文） - 定期扫描构建产物（如 dist/ 目录）和容器镜像文件系统，用工具（如
truffleHog、gitleaks）检测硬编码密钥；CI 流程中加入检查步骤，发现即阻断发布
