Docker 环境变量与密钥：配置可以注入，密钥不能烘焙

端口、日志级别等非敏感配置可以通过运行时环境变量传入。密码、令牌、私钥和连接串不能写入 Dockerfile、镜像层或公开 compose 文件。

docker run --env LOG_LEVEL=info image:tag

生产部署应由平台的 secret store、CI/CD 密钥变量或专用密钥管理系统注入，并限制读取权限。轮换密钥后，旧镜像不应继续携带旧值。