3、环境变量管理：.env文件的最佳实践
环境变量管理这件事，说简单也简单，说复杂真能坑死人。我见过太多团队把密钥直接写死在代码里，或者把.env文件随手一提交，结果整个公司的数据库凭证就挂在GitHub上供人参观。嗯，今天咱们就把这块彻底聊透。
3.1 .env文件的核心作用
.env文件说白了就是一个本地配置文件。它存放的是环境相关的变量——数据库密码、API密钥、第三方服务的token。这些信息不该出现在代码里，也不该出现在版本控制中。
我个人习惯，每个项目根目录下放一个.env.example作为模板，里面只写变量名和占位值。真正的.env文件只存在于本地，并且被.gitignore牢牢锁住。
核心原则：.env文件 = 本地敏感配置，.env.example = 团队协作模板。两者缺一不可。
3.2 多环境配置分离
你想想看，开发环境、测试环境、生产环境，用的数据库、API地址、密钥都不一样。如果所有环境共用一个.env文件，那不乱套了？
我建议按环境拆分配置文件：
| 文件名 | 用途 | 是否提交到版本控制 |
|---|---|---|
.env.development |
本地开发环境配置 | 否 |
.env.test |
测试环境配置 | 否 |
.env.production |
生产环境配置 | 否 |
.env.example |
配置模板（占位值） | 是 |
然后在代码里根据NODE_ENV或类似的环境变量，动态加载对应的配置文件。举个例子：
# .env.example（提交到仓库）
DB_HOST=localhost
DB_PORT=5432
DB_USER=your_username
DB_PASSWORD=your_password
API_KEY=your_api_key_here
# .env.development（本地，不提交）
DB_HOST=localhost
DB_PORT=5432
DB_USER=dev_user
DB_PASSWORD=dev_pass_123
API_KEY=dev_sk_test_xxxxx
# .env.production（仅部署服务器，不提交）
DB_HOST=prod-db.example.com
DB_PORT=5432
DB_USER=prod_admin
DB_PASSWORD=prod_secure_pass_456
API_KEY=prod_sk_live_xxxxx
小技巧：我习惯在项目启动脚本里加一个检查逻辑——如果当前环境没有对应的.env文件，就自动从.env.example复制一份并提示开发者修改。这样新成员上手时不会漏掉配置。
3.3 避免将.env提交到版本控制
这是最基础但也最容易翻车的一环。我曾经接手过一个项目，翻看Git历史时发现半年前有人把.env.production提交上去了，里面躺着生产数据库的明文密码。嗯，那天的密码轮换工作让我加班到凌晨两点。
怎么避免？三步走：
- 第一时间配置.gitignore——项目初始化时就把.env相关文件加进去
- 使用pre-commit钩子——提交前自动扫描是否包含.env文件
- 定期审计Git历史——用工具检查历史提交中是否有敏感信息泄露
一个标准的.gitignore配置长这样：
# .gitignore
.env
.env.*
!.env.example
注意最后一行——!.env.example是例外规则，意思是.env.example这个文件还是要提交的。这样团队其他人能看到配置模板。
警告：如果你已经不小心把.env提交上去了，光删除文件再提交是不够的——Git历史里还留着。你需要用git filter-branch或BFG Repo-Cleaner彻底清理历史记录，然后立即轮换所有泄露的密钥。
3.4 环境变量管理的核心流程
为了让你更直观地理解整个流程，我画了一张图：
3.5 实战避坑指南
这些年我踩过的坑不少，挑几个典型的说说：
- 坑一：.env文件权限没设对——我曾经发现服务器上.env文件是644权限，意味着所有用户都能读。正确的做法是设为600，只有文件所有者能读写。
- 坑二：环境变量里带特殊字符——密码里如果有
$、#、!这些符号，在shell里会被解析。记得用单引号包裹值，或者转义处理。 - 坑三：不同环境变量名冲突——开发环境和生产环境用了同一个变量名但含义不同，部署时忘了改值。我建议变量命名时加上环境前缀，比如
DEV_DB_HOST、PROD_DB_HOST。 - 坑四：.env文件被备份工具带走——有些备份脚本会全量打包项目目录，把.env也带走了。记得在备份脚本里排除.env文件。
我的习惯：每次新项目初始化，第一件事就是配.gitignore，第二件事是写.env.example，第三件事是加pre-commit钩子。这三步做完，后面能省掉80%的麻烦。
3.6 总结一下
环境变量管理这件事，说白了就是三个字——分、隔、锁。
- 分——按环境拆分配置文件，开发、测试、生产各用各的
- 隔——用.gitignore和pre-commit钩子把敏感文件隔离在版本控制之外
- 锁——文件权限设好，密钥管理工具用上，别让配置裸奔
做到这三点，你的密钥泄露风险至少降低一半。剩下的，就看团队的执行力了。