sed以流方式处理文本，不打开文件即可替换；需先预览再落盘，-i选项须带备份后缀，结合正则锚定和上下文过滤确保精准安全。
sed 命令本身不打开文件，而是以流方式读取内容、处理、输出——这正是它能“不打开文件就替换”的本质。关键在于用对选项和命令结构，避免误改、保留可追溯性。
基础替换：先预览，再落盘
默认情况下，sed 不修改原文件，只把结果打印到终端。这是最安全的起点：
- 查看替换效果：
sed 's/密码/****/g' config.txt—— 屏幕显示替换后的内容，原文件不动 - 确认无误后写入新文件：
sed 's/密码/****/g' config.txt > config_clean.txt - 若需覆盖原文件，必须显式加
-i选项，不可省略
安全就地编辑：带备份强制留痕
直接改原文件有风险，-i 选项务必搭配备份后缀：
- 生成 .bak 备份并替换：
sed -i.bak 's/API_KEY=[^[:space:]]*/API_KEY=*** /g' app.conf - Mac 用户注意：-i 后必须跟空字符串或后缀，如
sed -i '' 's/.../.../g' file - 备份文件名自动为
app.conf.bak，出错时可一键恢复
精准定位敏感内容：避开误伤
敏感字符串常出现在特定上下文（如 key=、token: 后），用正则锚定更可靠：
- 只替换等号后的值：
sed -i.bak 's/\(secret_key=\)[^[:space:]]*/\1*** /g' env.sh（用\1保留左侧关键词） - 匹配带引号的密钥：
sed -i.bak "s/'[[:alnum:]_+-]\{32,\}'/'***'/g" settings.py - 跳过注释行（防止误改示例）：
sed -i.bak '/^[[:space:]]*#/!s/password=[^[:space:]]*/password=*** /g' .env
批量处理多个文件：按需筛选范围
生产环境常需扫描整个项目目录，但不能盲目全量操作：
- 先查哪些文件含敏感词：
grep -rl 'SECRET_' ./src/ - 仅对这些文件执行替换：
grep -rl 'SECRET_' ./src/ | xargs -I{} sed -i.bak 's/SECRET_[^=]*=[^[:space:]]*/SECRET_=*** /g' {} - 限制文件类型更稳妥：
find ./config -type f \( -name "*.yaml" -o -name "*.ini" \) -exec sed -i.bak 's/token=[^[:space:]]*/token=*** /g' {} \;
