vscode项目内全局替换敏感信息需谨慎操作：必须先检查search.exclude配置，临时取消排除设置或显式指定包含文件（如/.env,/*.yml），启用大小写不敏感、全字匹配及正确正则（如\bapi_key\b），验证捕获组与$1引用，替换后务必通过git差异逐行审查并运行时验证。
VSCode项目内全局替换敏感信息，不能只靠 Ctrl+Shift+H 盲目点“全部替换”——它大概率会漏掉被 search.exclude 过滤的目录（比如 .env、config/ 下的文件），或因大小写、全字匹配、正则转义等问题误改、漏改，甚至把 password 替成 pwd 后，还顺手把 passwordResetToken 里的 password 也干掉了。
确认哪些文件实际参与了搜索
默认情况下，VSCode 会跳过 node_modules、.git、dist、build 等路径，但敏感信息常藏在 .env、secrets.json、config/*.yml 或 src/utils/auth.ts 里——这些可能已被你或团队配置进了 search.exclude。
- 按
Ctrl+Shift+P→ 输入Preferences: Open Settings (JSON)，检查search.exclude和项目级.vscode/settings.json是否意外排除了**/.env、**/config/**等路径 - 临时绕过所有排除：在搜索面板右上角点击
⋯→ 取消勾选使用排除设置（仅本次生效） - 显式指定必须包含的文件：在
files to include输入框中填**/.env,**/*.yml,**/*.json,**/*.ts,**/*.js，用英文逗号分隔
避免误替换：大小写、全字、正则三者必须协同控制
搜 API_KEY 却把 api_key、ApiKey、my_api_key_v2 全替了？这是没关对开关。VSCode 的匹配逻辑是叠加生效的，不是“开了正则就自动忽略大小写”。
- 先关掉
Match Case（Aa 按钮）——除非你明确只要大写形式 - 务必打开
Match Whole Word（ab 按钮）——防止token替换时误中authToken - 如果要用正则（例如匹配
process.env.XXX中的变量名），启用.*后，必须用\b包裹关键词：\bAPI_KEY\b，而非单纯API_KEY - 注意：正则中的
.默认不匹配换行符；若敏感信息跨行（如多行注释里的密钥），需额外勾选.*旁的.\n按钮（跨行匹配）
正则替换时捕获组引用必须用 $1，且要验证括号是否真被捕获
想把 const SECRET = "xxx" 替成 const SECRET = process.env.SECRET，写 const (\w+) = "([^"]*)" → const $1 = process.env.$1 是常见做法。但 VSCode 不会提示你括号有没有写错——如果漏了反斜杠转义或用了非捕获组 (?:...)，$1 就是空的。
- 搜索前务必先点
Enter或Find All，确认高亮结果和你预期的结构一致 - 替换字段中，
$是特殊字符：要输出字面量$，得写成$$；$0不可用，只有$1、$2… - 避免嵌套括号陷阱：比如
(\w+)(?=\s*=)是正向先行断言，不产生捕获组，$1仍指第一个(\w+)，但容易误判；简单场景优先用\b(\w+)\s*=\s*["']([^"']*)["']
替换后必须通过 Git 差异逐行审查，不能信“全部替换成功”提示
VSCode 的“全部替换”不校验语法、不运行测试、不判断上下文语义——它只做字符串置换。一个 REACT_APP_API_URL 被替成 VITE_API_URL 后，如果环境变量读取逻辑没同步更新，应用直接白屏。
- 立刻按
Ctrl+Shift+G打开源代码管理视图，点开每个被修改的文件，看红绿 diff —— 特别留意.env文件是否多删了空行、import语句是否被连带改动 - 重点检查：是否把注释里的示例密钥也替了（比如
# API_KEY=dev123→# VITE_API_KEY=dev123，这没问题）；但别把// TODO: remove API_KEY before prod改成// TODO: remove VITE_API_KEY before prod，这种属于无意义变更 - 如果项目用了 dotenv-expand、cross-env 等工具，确认替换后的变量名仍被正确加载——光看文件内容不够，得跑
npm run dev验证运行时行为
