AI / 编程与调试

密钥不该写进镜像和仓库

把密钥从仓库和镜像里挪出去，并定好轮换流程

项目目前把 [数据库密码/第三方 Key] 写在 [配置文件/仓库变量] 里。请给一套分层方案：1）本地开发、CI、生产三处分别怎么注入；2）K8s Secret 的局限，含 base64 不是加密、etcd 权限、RBAC 可见性，以及外部密钥管理的替代；3）轮换流程：怎么换、谁批准、如何验证旧密钥已失效；4）仓库里应该保留的文件长什么样。