VSCode不支持.env文件加密读取，需在Node.js层实现；launch.json的envFile仅明文加载单个.env文件，无校验机制；真正加密须用@chainlink/env-enc等工具，配合path.join(__dirname, '.env.enc')安全读取，并防范调试泄露与内存密钥提取风险。
VSCode 本身不支持对 .env 文件做加密读取——所谓“加密读取”，实际是混淆或运行时解密，必须靠 Node.js 代码层实现，不是编辑器功能。
launch.json 的 envFile 不加密，只读明文
envFile 字段只是让调试器把指定路径的 .env 文件内容按行解析、注入到进程环境变量中。文件本身仍是纯文本，没加密、没校验、不校验 .gitignore 是否生效。
- 写错路径（比如
"envFile": "./.env.local"但实际叫.env.development）→ 变量根本不会加载，process.env里查不到 - 多个
.env文件（如.env+.env.local）不会自动合并，envFile只读一个 - 如果
.env.local被误提交到 Git，API_KEY 就直接暴露，VSCode 不会拦截也不会警告
真正加密 .env 必须用 Node 加解密逻辑
想让敏感值不以明文落地，得在 Node 层面加密存储、运行时解密加载。推荐用 @chainlink/env-enc，它比手写 crypto 更安全、更省心：
- 安装：
npm install @chainlink/env-enc --save-dev - 设密码：
npx env-enc set-pw（密码只存本地内存，不写入磁盘） - 设变量：
npx env-enc set→ 输入DB_PASSWORD和值，自动生成加密后的.env.enc - 代码中调用：
require("@chainlink/env-enc").config()，之后process.env.DB_PASSWORD就是解密后的明文
注意：.env.enc 可提交到仓库（内容已加密），但必须确保 .env（明文）和 .env.local 已被 .gitignore 拦截。
OC SSH Tunnel Node Recovery
下载
诊断并恢复通过 SSH 隧道连接的 OpenClaw 节点。用于解决配对必需错误、隧道冲突、远程端点错误以及 SSH 目标配置错误等问题。
dotenv + path.join(__dirname, ...) 是稳定读取的前提
即使用了加密方案，如果 Node 读不到文件，一切白搭。常见错误是 fs.readFile('./.env') 报 ENOENT：
- 原因：
./基于process.cwd()，不是 JS 文件所在目录；终端在根目录运行node src/app.js，./.env就去根目录找，而不是src/下 - 解法：用
path.join(__dirname, '.env.enc')锚定路径，__dirname永远指向当前模块所在目录 - VSCode 默认隐藏
.env*文件，需在settings.json中删掉"**/.*": true才能确认文件存在
调试时明文仍可能泄露，得主动防御
哪怕用了 @chainlink/env-enc，一旦进入调试模式，console.log(process.env) 或断点展开变量，敏感值就裸露了：
- 别在调试配置里加
"env": { "API_KEY": "xxx" }—— 这等于把明文硬编码进 JSON - 避免在日志中打印
process.env全量对象；封装getSafeEnv(key)，对SECRET/KEY/PASSWORD类键名返回[REDACTED] - 生产环境禁用
console.log，或用util.inspect.defaultOptions.hideKeys = true控制输出
最易被忽略的环节不是“怎么加密”，而是“谁有权解密”——比如用 crypto.randomBytes(32) 生成的密钥，如果没做内存锁定或 KMS 托管，dump 进程内存就能直接提取。
