linux中通过环境变量传递敏感配置的核心是避免硬编码且防止泄露，需动态注入、限制生命周期、及时擦除内存副本，并配合权限隔离与日志过滤。
Linux 中通过环境变量传递敏感配置参数，核心是避免硬编码，同时确保变量不落入日志、版本库或非授权进程。这不是简单地执行 export KEY=VALUE，而是一套兼顾安全与可用性的实践逻辑。
只在运行时注入，不写入配置文件
敏感值（如数据库密码、API密钥）绝不能出现在 ~/.bashrc、/etc/environment 或任何可被 Git 跟踪的脚本中。正确做法是：在启动应用前动态设置，且生命周期仅限当前会话或进程。
- 临时方式：在终端中执行
DB_PASSWORD="s3cr3t" ./myapp—— 变量只对myapp生效，父 shell 不保留，命令历史中虽可见但不会持久化 - 更安全方式：用
env命令隔离，例如env DB_URL="postgresql://user:$DB_PASSWORD@db/" ./myapp，配合 shell 变量未导出（即不加export），避免子进程意外继承 - 生产部署常用：通过 systemd service 文件的
EnvironmentFile=加载独立的密钥文件（权限设为600，仅 root 可读），该文件不纳入代码仓库
启动应用时清除敏感变量
即使设置了环境变量，也要防止它被后续命令或子进程无意使用。尤其在交互式 shell 中，手动 export 后容易遗忘。
- 用子 shell 执行：将敏感操作包裹在括号中，例如
(export API_KEY="xxx"; curl -H "Authorization: Bearer $API_KEY" https://api.example.com)，退出后变量自动消失 - 启动服务后立即 unset：如
export SECRET_TOKEN="abc"; ./server & unset SECRET_TOKEN，降低残留风险 - 注意：
unset只影响当前 shell，不影响已启动的后台进程——所以必须在启动前完成赋值
程序内及时擦除内存中的副本
环境变量传入程序后，C/Python 等语言会将其复制到进程内存。若程序长期运行，这些字符串可能留在堆或栈中，被 core dump 或调试器捕获。
- C 程序可用
memset()主动清空接收到的密钥缓冲区（注意编译器优化干扰，需用volatile或专用清零函数） - Python 可用
os.environ.pop("DB_PASSWORD", None)删除环境引用，并尽快将密钥转为bytearray类型以便覆盖 - 关键原则：敏感值在内存中存在时间越短越好，不用时立刻释放或清零
配合权限与隔离机制使用
环境变量本身无访问控制，必须依赖系统层防护补足短板。
- 限制进程能力：用
setcap cap_dac_override+ep ./myapp替代 root 运行，减少因提权导致的环境泄露面 - 容器场景：Docker 的
--env-file或 Kubernetes 的Secret挂载，本质仍是环境变量注入，但底层做了文件权限隔离和内存限制 - 禁止日志打印：确保应用日志框架明确过滤含
PASSWORD、KEY、TOKEN等关键词的环境变量，避免误输出
