flask应用启动时读不到secret_key等环境变量的根本原因是环境变量未在正确时机加载。需确保os.getenv()在create_app()内调用、docker中显式声明env_file、systemd使用environmentfile、python-dotenv在import前调用，并通过配置类继承结构区分开发/生产环境，敏感信息须避免进程可见与日志泄露。
Flask应用启动时读不到SECRET_KEY等环境变量怎么办？
直接在app.py里写app.config['SECRET_KEY'] = 'hardcoded'是危险的，但更常见的情况是：本地开发能跑，部署到服务器就报KeyError: 'SECRET_KEY'或RuntimeError: A secret key is required。根本原因不是没设环境变量，而是Flask没在正确时机读取——比如os.getenv()调用太早、被覆盖、或环境变量根本没传进容器/进程。
- 确保
os.getenv()在create_app()函数内调用，而非模块顶层；模块加载时环境可能未就绪 - 用
os.getenv('SECRET_KEY', None)显式传默认值，避免None被误当字符串（Flask要求非空字符串） - Docker部署时，别只靠
.env文件——它只影响docker-compose up命令本身，不自动注入容器；必须用environment:或env_file:显式声明 - Linux systemd服务下，
EnvironmentFile=/etc/flask/.env比Environment=SECRET_KEY=xxx更易维护
如何区分开发/生产环境并加载不同配置？
靠FLASK_ENV已废弃（Flask 2.2+），真正起作用的是FLASK_DEBUG和自定义的FLASK_CONFIG。硬编码判断字符串容易出错，推荐用类继承结构 + 工厂函数。
- 定义
config.py，含Config基类、DevelopmentConfig、ProductionConfig子类，每个类用os.getenv()读对应变量 - 在
create_app()中根据os.getenv('FLASK_CONFIG', 'default')选择配置类，再调用app.config.from_object(config_class) - 关键点：子类中不要重写
__init__，所有配置通过类属性定义，否则from_object无法识别 -
SQLALCHEMY_DATABASE_URI这类敏感字段，务必在子类里读os.getenv('DATABASE_URL')，绝不拼接用户名密码
python-dotenv加载.env文件为何有时失效？
python-dotenv不是魔法，它只在导入时扫描当前目录及父目录下的.env，且**仅对后续的os.getenv()生效**——如果Flask配置已在dotenv.load_dotenv()前执行，变量依然为空。
使用 Python 脚本下载 Docker 镜像并打包为 tar 文件。用户说“下载镜像”“拉取镜像”“pull xxx”“帮我下载 nginx 镜像”等时触发。支持 SOCKS5 代理直连（推荐）和国内镜像站加速两种模式。
- 必须在
app.py最顶部（import flask之前）调用from dotenv import load_dotenv; load_dotenv() - 若项目结构是
src/app.py，而.env在项目根目录，需显式指定路径：load_dotenv('.env')或load_dotenv(find_dotenv()) - 注意：PyCharm等IDE可能缓存环境变量，修改
.env后需重启调试器；VS Code需确认python.defaultInterpreter指向正确虚拟环境 -
.env文件不能有export前缀，也不能用#注释跨行值，否则load_dotenv会解析失败
生产环境如何安全传递数据库密码而不暴露在进程列表中？
ps aux | grep python能看到命令行参数，所以绝不能用--config database_url=postgresql://u:p@h/d这种形式传敏感信息。真正的安全边界在于：环境变量本身是否可被其他用户读取。
- Linux上，用
sudo -u www-data env SECRET_KEY=xxx python app.py方式临时设置，变量只对当前进程可见，不会写入shell历史 - Kubernetes中，用
Secret挂载为环境变量或文件，确保volumeMounts权限为0400，避免其他容器读取 - 云平台（如AWS ECS、Heroku）优先使用平台原生密钥管理服务（AWS Secrets Manager、Heroku Config Vars），它们会加密传输并在运行时注入，不落盘
- 最后检查：在Flask路由里打印
os.environ.get('DB_PASSWORD')——生产环境必须返回None，说明你没在代码里意外泄露
环境变量解耦最难的不是语法，而是确保从操作系统进程创建那一刻起，敏感值就处于不可见、不可继承、不可日志化的状态。任何环节漏掉权限控制或调试输出，前面所有配置设计都白做。
Python免费学习笔记（深入）：立即使用
在学习笔记中，你将探索 Python 的核心概念和高级技巧！
