vscode本身不提供加密能力，真正起作用的是node的crypto模块或第三方库如@chainlink/env-enc；手写aes加密需严守key长度、随机iv、gcm authtag等规范；推荐使用@chainlink/env-enc实现安全的环境变量加密与自动解密。
Node环境加密 ≠ VSCode插件加密
VSCode本身不提供密码学意义上的加密能力，所谓“在VSCode中加密”，本质是**在VSCode里编辑、运行基于Node.js的加密代码**。真正起作用的是Node内置的crypto模块或第三方库（如crypto-js、@chainlink/env-enc），不是VSCode的功能。很多人误以为装个插件就能加密环境变量或代码，结果发现只是Base64编码或混淆——那不是加密，更不防逆向。
用crypto模块做AES加密必须避开的坑
Node原生crypto支持AES-GCM、AES-CBC等，但参数稍错就会报Error: Invalid key length或解密失败。常见错误包括：
-
crypto.createCipheriv()要求key长度严格匹配算法：AES-128需16字节，AES-256需32字节；用Buffer.from('my-key', 'utf8')直接转可能截断或补零，应先crypto.scryptSync()派生 - IV（初始化向量）必须每次加密都随机生成且不可复用，但不能硬编码进代码——否则所有密文可被批量破解
- GCM模式下
authTag必须和密文一起保存并传给解密方，漏掉就TypeError: Unsupported state or unable to authenticate data - 不要用
crypto.createHash('md5')当加密——MD5是哈希，不可逆，也不抗碰撞，敏感数据严禁用
环境变量加密推荐@chainlink/env-enc而非手写逻辑
自己实现.env加密容易翻车：比如把密码明文写进脚本、密钥管理混乱、忘记.gitignore掉.env.enc。用@chainlink/env-enc能规避多数人为错误：
Rydberg Agent Node
下载
使用一条命令部署ProbeChain Rydberg测试网代理节点。自动注册为Agent(NodeType=1)，免gas，支持macOS/Linux/Windows。触发词：/r
- 执行
npx env-enc set-pw后，密码只存于系统密钥环（macOS Keychain / Windows Credential Manager），不落地 -
npx env-enc set时输入的值，会用AES-256-GCM加密并写入.env.enc，该文件可安全提交到Git（密钥不在其中） - 运行时调用
require("@chainlink/env-enc").config()自动解密，process.env里拿到的就是明文，业务代码完全无感 - 注意：它依赖Node 16+，且
config()必须在任何require之前调用，否则变量读不到
调试时敏感变量自动脱敏要改launch.json
即使环境变量已加密，调试时console.log(process.env)或断点查看仍可能暴露明文。VSCode调试器默认会把所有变量展开显示，必须主动屏蔽：
- 在
.vscode/launch.json的配置中加入"env": { "NODE_ENV": "development" }，避免把生产密钥带进来 - 启用
"outputCapture": "std"并配合自定义日志逻辑，过滤含SECRET、KEY、PASSWORD字段的输出 - 更稳妥的做法：在
process.env访问层封装一层getSafeEnv(key)，对敏感键名返回[REDACTED]，而不是依赖调试器过滤
加密从来不是“加一道锁就完事”，而是密钥怎么来、在哪存、谁有权解、解完怎么用，每个环节都有泄漏点。Node环境里最常被忽略的，其实是密钥生命周期管理——比如crypto.randomBytes(32)生成的key，如果没用KMS托管或内存锁定，dump进程内存就能直接抓出来。
