最轻量有效的做法是用.env文件隔离敏感配置并显式调用load_dotenv()加载，但必须将其置于入口脚本顶部、import语句前，且.env须加入.gitignore；连接字符串应通过urlencode或SQLAlchemy.make_url安全构造，避免明文拼接和打印泄露。
用 .env 文件隔离敏感配置，但必须配合 python-dotenv 显式加载
直接把数据库密码写死在脚本里（比如 password = "123456"）是高危操作，Git 提交、日志打印、进程列表都可能泄露。最轻量且有效的做法是把配置抽到项目根目录的 .env 文件中：
DB_HOST=localhost DB_PORT=5432 DB_NAME=analytics DB_USER=analyst DB_PASSWORD=super_secret_123
但 Python 不会自动读取它——你得显式调用 load_dotenv()，且必须在导入数据库驱动前执行。常见错误是把它放在脚本末尾、或只在某个函数里调用，导致后续 os.getenv("DB_PASSWORD") 返回 None。
- 安装依赖：
pip install python-dotenv - 在入口脚本顶部（不是在函数内、不是在 import 语句之后）加：
from dotenv import load_dotenv; load_dotenv() -
.env文件必须加入.gitignore，否则等于白设
连接字符串构造时避免拼接明文密码，优先使用 urllib.parse.urlencode 或 SQLAlchemy 的 make_url
手动拼接 f"postgresql://{user}:{password}@{host}/{db}" 很容易出问题：密码含特殊字符（如 @、/、:）会导致 URL 解析失败；调试时打印该字符串也会意外泄露密码。正确做法是让标准库或 ORM 帮你编码：
from urllib.parse import urlencode
from sqlalchemy import make_url
<h1>方式一：用 urlencode 安全编码参数</h1><p>params = urlencode({"user": os.getenv("DB_USER"), "password": os.getenv("DB_PASSWORD")})
url = f"postgresql://{os.getenv('DB_HOST')}:{os.getenv('DB_PORT')}/{os.getenv('DB_NAME')}?{params}"</p><h1>方式二（推荐）：用 SQLAlchemy 自带的 make_url，自动处理转义</h1><p>url = make_url(f"postgresql://{os.getenv('DB_USER')}:{os.getenv('DB_PASSWORD')}@{os.getenv('DB_HOST')}/{os.getenv('DB_NAME')}")立即学习“Python免费学习笔记（深入）”；
注意：make_url 会自动对用户名和密码做 quote_plus 处理，比手写更可靠；但如果不用 SQLAlchemy，就别为了这个功能引入整个包，用 urlencode 更轻量。
生产环境禁用 .env，改用系统级环境变量或密钥管理服务
本地开发用 .env 没问题，但部署到服务器、Docker 或云函数时，.env 文件容易被误提交、权限配置不当，或与容器编排工具冲突。此时应彻底移除 .env 文件，改由运维侧注入环境变量：
- Docker：用
docker run -e DB_PASSWORD=xxx或env_file（但该文件不应进 Git） - Kubernetes：通过
Secret挂载为环境变量，确保 base64 编码且权限为0400 - AWS Lambda / GCP Cloud Functions：在控制台或部署模板中设置环境变量，平台会加密存储
代码层只需保持统一读法：os.getenv("DB_PASSWORD")，无需区分来源——这也是为什么不能在代码里写死路径去读某个特定 .env 文件。
临时调试时切勿打印完整连接 URL，用 repr() 或掩码替代
分析脚本常需要验证连接是否成功，有人习惯写 print(conn_url)，结果整条含密码的 URL 被记入日志。哪怕只是本地调试，也建议养成掩码习惯：
# 错误示范（直接打印）
print(conn_url) # postgresql://analyst:super_secret_123@localhost/analytics
<h1>正确做法：只暴露结构，隐藏敏感段</h1><p>masked = conn_url.replace(os.getenv("DB_PASSWORD", ""), "[MASKED]")
print(f"Connecting to: {masked}")</p><h1>或更稳妥：用 repr 显示转义后效果，不暴露原始值</h1><p>print(f"URL repr: {repr(conn_url)}") # 'postgresql://analyst:super%5Fsecret%5F123@localhost/analytics'真正麻烦的是那些封装了连接逻辑的第三方库（比如某些 BI 工具 SDK），它们内部可能无意识打印 URL。这时只能查文档看是否有 log_level 控制，或临时重定向 logging 输出过滤关键词。
配置安全不是加一层加密就完事，而是让密码在内存里不裸露、在磁盘上不落盘、在网络上传输时不拼接、在日志里不回显——每个环节漏一点，整条链就断了。
