项目级敏感字符串替换必须用Ctrl+Shift+F+正则+范围过滤，否则易漏改、误改或污染无关文件；单文件Replace All无法预览全量匹配、排除node_modules等目录，且默认仅作用于当前标签页。
项目级敏感字符串替换不能只靠 Ctrl+H，必须用 Ctrl+Shift+F + 正则 + 范围过滤，否则极易漏改、误改或污染无关文件。
为什么直接在单文件里 Replace All 会出事
敏感字符串（如 API_KEY、process.env.SECRET、硬编码密码）往往跨多文件出现，且语义环境差异大：有的在 JS 字符串里，有的在注释中，有的在 JSON 值里。单文件替换无法预览全量匹配，更没法排除 node_modules 或 dist/ 这类目录。你点一次 Replace All，可能顺手把第三方库的测试用例也改了。
- 不启用
Where字段，默认只作用于当前标签页，和“项目”毫无关系 - 没关掉
Regex却写了.或*，会意外匹配整行甚至跨行内容 - 开了
Match Whole Word但目标词是变量名的一部分（如把token改成auth_token），user_token就会被跳过
Ctrl+Shift+F 里怎么写安全的正则替换
打开全局替换面板后，关键不是“怎么写得炫”，而是“怎么写得窄”——越具体，越可控。
- 查
process\.env\.SECRET→ 替换成process.env.SECRET_PLACEHOLDER：必须转义.，否则process env SECRET也会被命中 - 查
"[^"]*API_KEY[^"]*"→ 替换成"REDACTED"：用否定字符类[^"]*限定在引号内，避免吞掉后续代码 - 查
//.*\b(API_KEY|SECRET)\b→ 替空：加\b确保只匹配完整单词，防止API_KEY_PATH被误伤 - 如果要保留部分上下文（如只删值不删键），用捕获组：
"(API_KEY)":\s*"[^"]*"→"$1": "[MASKED]"
必须手动检查的三个高危点
Sublime 不会帮你判断哪处是真敏感、哪处是假阳性。以下三类结果务必人工过一遍：
- 匹配项出现在
.gitignore未覆盖的临时文件里（如test.env、local-config.js） - 替换后破坏了字符串拼接逻辑，例如原为
`${API_KEY}-v2`，替成`${REDACTED}-v2`看似安全，但运行时可能因模板解析失败而报错 -
Find in Files的输出面板里，同一行出现多次高亮（说明正则太宽），比如搜KEY结果把break、keyof全标红了
替换完别急着提交，先做两件事
敏感信息一旦泄露就不可逆，补救成本远高于预防。
- 用
git status和git diff --no-index /dev/null .快速扫一眼是否误改了二进制或锁文件（如yarn.lock） - 在终端里跑一次
grep -r "API_KEY\|SECRET" . --include="*.js" --include="*.ts" | grep -v node_modules，确认 Sublime 没漏掉任何角落——它的Find in Files有时会跳过符号链接或特殊编码文件
最常被忽略的是：Sublime 的 Replace All 在全局模式下仍不会处理未打开的、被 Git 忽略的、或权限受限的文件。它只扫你当前项目路径下 Sublime 能读取到的内容，不是真正的“全盘扫描”。
