sublime text远程编辑敏感参数必须视觉遮蔽+传输规避+本地隔离三重处理，禁用ctrl+d/alt+f3批量替换以防误伤注释和变量名，须用正则高亮+环境变量引用+关闭upload_on_save并手动推送。
远程编辑配置文件时，敏感参数（如 api_key、password、secret）不能靠“不看”来保障安全——它们会明文传输、缓存、甚至被日志记录。Sublime Text 本身不提供运行时脱敏能力，所有“隐藏”必须在编辑器层做**视觉遮蔽 + 传输规避 + 本地隔离**三重处理。
为什么不能用 Ctrl+D 或 Alt+F3 批量替换远程文件中的敏感值
你在远程同步的文件里直接搜 password 并替换成 REDACTED，看似干净，实则危险：
-
Alt+F3全词匹配会误伤# password_reset_token注释、new_password字段、甚至password_hash变量名 -
Ctrl+D增量选择无法区分"password": "123"和log.info("password is wrong")—— 后者被删会导致运行时报错 - SFTP 插件上传的是你本地文件的**原始内容**，替换后若没关
upload_on_save，明文立刻回传到服务器 - 远程文件一旦被编辑并保存，Sublime 会把整份内容（含你刚填的
REDACTED）发过去——这等于把占位符当真实值部署了
真正安全的远程编辑敏感参数流程
核心原则：**敏感值绝不落地、绝不传输、绝不显示**。操作必须分三步，在本地完成：
- 用
Ctrl+Shift+P→ 输入Hide Sensitive Values（需提前安装HideSensitive类插件）或手动执行正则高亮：查找(api_key|secret|token|password)s*[:=]s*["']([^"']*)["']，勾选Regex和Case sensitive，只高亮不替换 - 对高亮行右键 →
Copy as Redacted（插件功能）或手动复制为"password": "${ENV_PASSWORD}"—— 注意用环境变量引用，不是硬编码 - 确保 SFTP 配置中
"upload_on_save": false，改完先本地测试；确认无误后，用终端命令scp或rsync单独推送非敏感部分，敏感字段由 CI/CD 或运维平台注入
如何让 Sublime 在打开远程配置文件时自动模糊敏感字段
这不是语法高亮能解决的问题，得靠视图层干预。推荐两个轻量方案：
- 安装
HighlightWords插件，添加规则：{"pattern": "(api_key|secret).*?:\s*["'].*?["']", "color": "invalid", "ignore_case": false}—— 把整行标红但不修改内容 - 更稳妥的做法：用
Ctrl+Shift+P→Set Syntax: Plain Text，再执行一次正则查找"(password|key)":s*"[^"]*"，按Esc清除高亮；这样既不干扰语法解析，又能快速定位 - 绝对不要依赖
file_exclude_patterns来“隐藏”敏感文件——它只影响侧边栏显示，Ctrl+P仍能打开，且 SFTP 的sync_down_on_open会强制拉取
远程编辑时最容易被忽略的泄漏点
很多人以为关掉 Minimap、禁用侧边栏就安全了，其实真正危险的是这些静默行为：
- SFTP 插件默认开启
sync_down_on_open：你双击打开config.yaml的瞬间，它已把服务器上的明文拉到本地缓存目录（路径类似Packages/User/SFTP/Cache/），即使你没编辑也会落盘 - Sublime 的
Find in Files（Ctrl+Shift+F）结果页会完整显示匹配行——如果搜prod，可能连带爆出"db_password": "xxx" - 项目设置里的
sftp-config.json若包含"password": "xxx"，它本身就会被 Git 误提交——必须用"ssh_key_file": "~/.ssh/id_rsa"替代，且私钥权限设为600
