环境变量含特殊字符时需用引号包裹或转义以确保正确识别：shell中用双引号或单引号包裹值，.env文件需引号或反斜杠转义，代码中读取后应按需编码（如url场景），配置文件引用时须注意解析阶段差异。
环境变量值里含特殊字符（比如 #、$、@、空格、斜杠等）时，直接赋值或读取容易出错——不是被 shell 截断，就是被 URL 解析器误判，或是配置系统当成语法符号处理。关键不在于“能不能用”，而在于“怎么让系统正确识别它本来的样子”。
Shell 环境中设置带特殊字符的变量
在终端里用 export 设置时，必须对特殊字符做转义或引号包裹：
- 用双引号包裹整个值：
export PASSWORD="my#pass@2026"—— 这样#和@被当作文本，不会被 shell 当作注释或扩展符 - 若值本身含双引号，改用单引号：
export TOKEN='key"with"quote'（单引号内不解析任何转义和变量） - 个别场景需手动转义：比如
#在 Spring Boot 中需写成export PASSWORD=abc\#98rrE，虽然echo $PASSWORD显示无反斜杠，但 JVM 读取时会保留原意
.env 文件里的安全写法
使用 python-dotenv 或类似工具加载 .env 时，规则更严格：
- 值中含空格、
#、$、:等，必须用引号包裹：API_KEY="sk-live#2026@dev" - 若值含引号本身，可用反斜杠转义：
MESSAGE="He said \"Hello\"" - 变量展开（如
DATABASE_URL="mysql://${DB_HOST}/db"）中，被引用的变量（DB_HOST）本身也应按上述规则定义，避免展开后拼接失败
代码中读取与转义处理
不同语言对“已设置的环境变量”读取方式不同，但都需注意原始值是否被提前截断或误解析：
- Python 推荐用
os.environ.get("KEY")直接获取字符串，再按需处理；若用于 URL 构造，密码部分建议用urllib.parse.quote()编码，而非拼进原始字符串 - Go 中
os.LookupEnv返回原始字符串，但连接数据库时（如含@的 MySQL 密码），应调用url.PathEscape(password)再拼 URL - Golang 的
os.Expand不自动读环境变量，且不处理嵌套或转义；若模板里有${PWD}，必须传入os.Getenv或自定义函数，且该函数要能处理空值，否则${MISSING}/path会变成/path
配置文件（YAML/Properties）中引用环境变量
像 Spring Boot 或 Viper 这类框架，在配置文件里写 ${PASSWORD} 时，实际行为取决于解析阶段：
- Spring Boot 默认将环境变量值原样注入，但若
PASSWORD含#，启动前必须用\#转义，否则会被 YAML 解析器当作注释丢弃 - Viper 的
AutomaticEnv()是“键映射机制”，不是模板替换；它把APP_DB_HOST映射为db.host字段，不触碰字段值里的${...}—— 后者得靠os.Expand单独处理 - 敏感值（如密钥、密码）尽量避免在配置文件中做复杂展开，优先用纯环境变量注入，减少中间解析环节
