Varlock 环境变量安全管理

问题背景

在 Claude 辅助开发时，.env、API Key、数据库连接串很容易通过对话上下文、复制粘贴的终端命令、CI 日志或误提交的 .env 文件泄露。模型会话往往会被完整记录；一旦把明文密钥写进 prompt 或让助手「帮我 export 一下」，风险就不可逆。

技能在做什么

Varlock Claude Skill 提供一套面向 Claude 工作流的安全环境变量管理指导与模式，目标很明确：机密信息不应出现在 Claude 会话、本地终端输出、应用日志或 Git 提交里。

典型关注点包括：

• 在对话中避免直接粘贴或复述完整密钥，改用占位符、引用名或「已配置于本地」的说明方式
• 区分「需要模型知道的配置结构」与「必须留在本机/密钥库的值」
• 在脚本、示例命令与文档片段里使用 VAR_NAME 这类引用，而不是示例里的真实 secret
• 提交前检查：.gitignore、环境文件命名、以及是否会把 env 打进日志

具体实现细节与推荐工具链以源仓库说明为准；本技能侧重行为模式与检查清单，而不是替你在机器上托管密钥。

适用边界

• 不能替代专业密钥管理（Vault、云 KMS、OIDC 等）；它解决的是「和 Claude 协作时别顺手把 secret 散出去」
• 若项目已有 Varlock 或同类工具，应以其官方文档为主，技能内容作为 Claude 侧的对话约束补充
• 团队规范（如禁止在 issue/PR 里贴 env）仍需在流程与 review 里落地，技能只提供一致的话术与习惯