线上密钥到底该放哪：环境变量、Vault/KMS，还是配置中心加密？

先说背景：最近帮几个团队做安全加固复盘，翻了一圈发现"密钥"这块几乎是重灾区——数据库密码、第三方 API key、签名密钥，散落在代码仓库、docker-compose、环境变量、配置文件里。有人把密钥写死在 config 里 commit 进 git，历史一翻全在；有人塞进环境变量图省事；有人上了 Vault/KMS，但团队用不熟，最后还是悄悄回退到环境变量。我特别想把这个"密钥到底该放哪"的老问题摊开聊聊。

我观察到大致三种做法，也是三种分歧： 1）环境变量派：启动时注入，不进代码库。简单够用，很多小团队首选。但环境变量容易被日志、进程列表、崩溃 dump 带出去，而且"注入到容器里"和"注入到 K8s 里"的边界很模糊——Pod 内任何进程 env 一下全看见了。 2）密钥管理服务派（Vault / KMS / 云厂商 Secret Manager）：集中托管、自动轮换、细粒度权限、审计留痕，理论最干净。但工程成本陡增：要维护一套服务、处理网络依赖、还得应对"服务挂了应用起不来"的可用性风险。 3）配置中心加密派：把密文放进配置中心（Nacos / Apollo），应用启动时解密。折中，可"谁持有解密密钥"又成了新问题，容易演变成"把大象装进冰箱，再换个更大的冰箱"。

我的倾向：核心原则是"密钥不落盘、不进代码、能轮换、可审计"，而不是纠结"放哪个盒子"。具体做法——

• 数据库密码、签名密钥这类"长期、高价值"的，走 KMS / HSM，应用只持有短期凭据或引用，密钥本身不出安全边界；
• 第三方 API key 这类"中价值、可吊销"的，走 Vault 集中托管 + 自动轮换 + 最小权限 scope；
• 环境变量只当"启动期一次性注入的传输通道"，绝不把它当成"存储"。 打个比方：密钥不该像现金放在收银台抽屉里（环境变量），而该锁在银行金库（KMS），收银台每天只领当班要用的零钱（短期凭据），用完注销。

但我也知道现实：小团队没有 Vault 的运维人力，KMS 又绑定了云厂商。所以特别想听大家：

• 你们线上的密钥现在到底放哪？环境变量 / Vault / KMS / 配置中心加密，占比大概怎么分？
• 有没有"密钥进了 git 历史"的惨痛经历？最后是怎么换钥 + 清历史的？
• 小团队（<5 人）上 Vault 你们觉得值不值，还是环境变量 + 云 Secret Manager 就够？
• KMS / Vault 服务本身挂了，你们怎么保证应用还能起（fail-open 还是 fail-closed）？
• 自动轮换你们真敢开吗？开了之后踩过哪些"转着转着把线上搞挂"的坑？

欢迎把你们的实践和踩坑都贴出来，咱们一起把"密钥该住哪"这件事说透。