Keep Secrets Out of Images
Keep Secrets Out of Images — Chinese original prompt
项目目前把 [数据库密码/第三方 Key] 写在 [配置文件/仓库变量] 里。请给一套分层方案：1）本地开发、CI、生产三处分别怎么注入；2）K8s Secret 的局限，含 base64 不是加密、etcd 权限、RBAC 可见性，以及外部密钥管理的替代；3）轮换流程：怎么换、谁批准、如何验证旧密钥已失效；4）仓库里应该保留的文件长什么样。
Site original
Chinese original
How to use
Secret 只是编码不是加密，能进 Pod 或读 etcd 的人都能看到。